• Versi terjejas: ColdFusion 2025 sehingga 2025.0.11, ColdFusion 2023 sehingga 2023.0.22. Dibetulkan dalam 2025.0.12 dan 2023.0.23 .
• Status eksploitasi: Adobe melaporkan tiada eksploitasi aktif di alam liar setakat keluaran .
• Panduan tampalan: Gunakan kemas kini keselamatan ColdFusion dengan segera. Adobe memberikan rating Priority 1 (risiko tertinggi — "risiko lebih tinggi untuk disasarkan di alam liar") .

CVE-2026-48362, kelemahan ColdFusion paling teruk, membenarkan penyerang tanpa pengesahan melaksanakan arahan sistem pengendalian sewenang-wenangnya melalui permintaan yang direka . Ini boleh membawa kepada kompromi pelayan sepenuhnya. Kecacatan suntikan eval (CVE-2026-48273) dan peningkapan kebenaran (CVE-2026-71384) juga membuka pintu untuk pelaksanaan kod dan peningkatan keistimewaan .

Adobe Commerce (APSB26-92) — Priority 2 (Tampalan Dalam 30 Hari)

Adobe menyelesaikan 7 kerentanan dalam Commerce dan Magento Open Source .

• Versi terjejas: Adobe Commerce 2.4.9-2026-jul dan lebih awal, serta baris keluaran 2.4.8 hingga 2.4.4; Magento Open Source versi sama; modul Commerce B2B .
• Status eksploitasi: Adobe melaporkan tiada eksploitasi aktif di alam liar, tetapi Commerce diketahui pernah menjadi sasaran dalam serangan lalu .
• Panduan tampalan: Gunakan tampalan terpencil (Isolated patches) Ogos 2026 dari pangkalan pengetahuan Adobe Commerce. Pelanggan Commerce di Cloud juga boleh menggunakan Magento Cloud Patches. Tampalan adalah kumulatif mengikut baris keluaran — tampalan Julai 2026 mesti digunakan terlebih dahulu. Adobe mengesyorkan penggunaan dalam tempoh 30 hari (Priority 2) .

Kelemahan Commerce CVE-2026-71362 amat berbahaya kerana ia tidak memerlukan pengesahan dan tiada interaksi pengguna, membenarkan penyerang tanpa pengesahan meningkatkan keistimewaan melalui rangkaian . Ini boleh mendedahkan data pelanggan sensitif dan membolehkan pengubahsuaian sistem tanpa kebenaran .

Konteks Lebih Luas: Selasa Patch Ogos 2026 Adobe

Adobe mengeluarkan lima buletin keselamatan pada 11 Ogos, menangani sejumlah 51 CVE merentasi :

• Adobe ColdFusion (15 CVE)
• Adobe Commerce / Magento Open Source (7 CVE)
• Adobe Campaign Classic (pelbagai kelemahan kritikal, termasuk dua CVSS 10.0)
• Adobe Lightroom Classic
• Content Credentials SDK

Daripada 51 kerentanan, 33 diklasifikasikan sebagai kritikal . Item keterukan tertinggi merentasi keseluruhan keluaran ialah suntikan arahan OS ColdFusion (CVSS 10.0) dan dua kelemahan CVSS 10.0 Campaign Classic .

Rumusan Utama untuk Pasukan Keselamatan

1. Pengguna ColdFusion perlu menampal segera. Kelemahan RCE CVSS 10.0 (CVE-2026-48362) boleh membawa kepada kompromi pelayan sepenuhnya. Rating Priority 1 Adobe menandakan risiko sasaran yang lebih tinggi pada masa hadapan.
2. Pengguna Commerce perlu menampal dalam tempoh 30 hari. Walaupun tiada eksploitasi aktif dikesan, vektor eskalasi keistimewaan tanpa pengesahan (CVE-2026-71362) adalah kebimbangan serius, terutamanya memandangkan sejarah Commerce sebagai sasaran.
3. Tiada eksploitasi aktif diperhatikan untuk mana-mana kerentanan ini setakat tarikh nasihat, tetapi ketiadaan kod bukti konsep (proof-of-concept) tidak menjamin keselamatan .
4. Sahkan penggunaan tampalan dalam persekitaran pentas (staging) sebelum digunakan ke pengeluaran, terutamanya untuk ColdFusion di mana pembetulan mungkin menjejaskan aplikasi tersuai.

• Versi terjejas: ColdFusion 2025 sehingga 2025.0.11, ColdFusion 2023 sehingga 2023.0.22. Dibetulkan dalam 2025.0.12 dan 2023.0.23 .
• Status eksploitasi: Adobe melaporkan tiada eksploitasi aktif di alam liar setakat keluaran .
• Panduan tampalan: Gunakan kemas kini keselamatan ColdFusion dengan segera. Adobe memberikan rating Priority 1 (risiko tertinggi — "risiko lebih tinggi untuk disasarkan di alam liar") .

CVE-2026-48362, kelemahan ColdFusion paling teruk, membenarkan penyerang tanpa pengesahan melaksanakan arahan sistem pengendalian sewenang-wenangnya melalui permintaan yang direka . Ini boleh membawa kepada kompromi pelayan sepenuhnya. Kecacatan suntikan eval (CVE-2026-48273) dan peningkapan kebenaran (CVE-2026-71384) juga membuka pintu untuk pelaksanaan kod dan peningkatan keistimewaan .

Adobe Commerce (APSB26-92) — Priority 2 (Tampalan Dalam 30 Hari)

Adobe menyelesaikan 7 kerentanan dalam Commerce dan Magento Open Source .

• Versi terjejas: Adobe Commerce 2.4.9-2026-jul dan lebih awal, serta baris keluaran 2.4.8 hingga 2.4.4; Magento Open Source versi sama; modul Commerce B2B .
• Status eksploitasi: Adobe melaporkan tiada eksploitasi aktif di alam liar, tetapi Commerce diketahui pernah menjadi sasaran dalam serangan lalu .
• Panduan tampalan: Gunakan tampalan terpencil (Isolated patches) Ogos 2026 dari pangkalan pengetahuan Adobe Commerce. Pelanggan Commerce di Cloud juga boleh menggunakan Magento Cloud Patches. Tampalan adalah kumulatif mengikut baris keluaran — tampalan Julai 2026 mesti digunakan terlebih dahulu. Adobe mengesyorkan penggunaan dalam tempoh 30 hari (Priority 2) .

Kelemahan Commerce CVE-2026-71362 amat berbahaya kerana ia tidak memerlukan pengesahan dan tiada interaksi pengguna, membenarkan penyerang tanpa pengesahan meningkatkan keistimewaan melalui rangkaian . Ini boleh mendedahkan data pelanggan sensitif dan membolehkan pengubahsuaian sistem tanpa kebenaran .

Konteks Lebih Luas: Selasa Patch Ogos 2026 Adobe

Adobe mengeluarkan lima buletin keselamatan pada 11 Ogos, menangani sejumlah 51 CVE merentasi :

• Adobe ColdFusion (15 CVE)
• Adobe Commerce / Magento Open Source (7 CVE)
• Adobe Campaign Classic (pelbagai kelemahan kritikal, termasuk dua CVSS 10.0)
• Adobe Lightroom Classic
• Content Credentials SDK

Daripada 51 kerentanan, 33 diklasifikasikan sebagai kritikal . Item keterukan tertinggi merentasi keseluruhan keluaran ialah suntikan arahan OS ColdFusion (CVSS 10.0) dan dua kelemahan CVSS 10.0 Campaign Classic .

Rumusan Utama untuk Pasukan Keselamatan

1. Pengguna ColdFusion perlu menampal segera. Kelemahan RCE CVSS 10.0 (CVE-2026-48362) boleh membawa kepada kompromi pelayan sepenuhnya. Rating Priority 1 Adobe menandakan risiko sasaran yang lebih tinggi pada masa hadapan.
2. Pengguna Commerce perlu menampal dalam tempoh 30 hari. Walaupun tiada eksploitasi aktif dikesan, vektor eskalasi keistimewaan tanpa pengesahan (CVE-2026-71362) adalah kebimbangan serius, terutamanya memandangkan sejarah Commerce sebagai sasaran.
3. Tiada eksploitasi aktif diperhatikan untuk mana-mana kerentanan ini setakat tarikh nasihat, tetapi ketiadaan kod bukti konsep (proof-of-concept) tidak menjamin keselamatan .
4. Sahkan penggunaan tampalan dalam persekitaran pentas (staging) sebelum digunakan ke pengeluaran, terutamanya untuk ColdFusion di mana pembetulan mungkin menjejaskan aplikasi tersuai.