Adobe augustus 2026-patch update: Kritieke ColdFusion- en Commerce-kwetsbaarheden

Op 11 augustus 2026 heeft Adobe beveiligingsupdates uitgebracht voor meer dan 50 kwetsbaarheden in meerdere producten. De meest urgente fixes richten zich op ColdFusion en Adobe Commerce, twee producten die veel worden gebruikt in bedrijfsomgevingen. Hoewel Adobe op het moment van publicatie geen actieve exploits meldde, vereisen de ernst van bepaalde fouten – waaronder een CVSS 10.0 kwetsbaarheid voor externe code-uitvoering (RCE) in ColdFusion – onmiddellijke actie van securityteams .

Adobe ColdFusion (APSB26-90) — Prioriteit 1 (Direct updaten)

Adobe heeft 15 beveiligingsfouten in ColdFusion 2025 en 2023 verholpen. Drie daarvan zijn als kritiek beoordeeld :

CVE	Type	CVSS	Impact
CVE-2026-48362	OS-commandinjectie	10,0	Externe code-uitvoering
CVE-2026-48273	Eval-injectie	9,9	Externe code-uitvoering
CVE-2026-71384	Onjuiste autorisatie	9,6	Omzeilen van beveiligingscontroles, beheerdertoegang

• Getroffen versies: ColdFusion 2025 tot en met 2025.0.11, ColdFusion 2023 tot en met 2023.0.22. De fouten zijn verholpen in 2025.0.12 en 2023.0.23 .
• Exploitatiestatus: Adobe meldt dat er geen actieve exploits in het wild zijn op het moment van publicatie .
• Patchinstructies: Installeer de ColdFusion-beveiligingsupdate onmiddellijk. Adobe heeft prioriteit 1 toegekend (hoogste risico – "hoger risico om in het wild te worden getarget") .

CVE-2026-48362, de meest ernstige ColdFusion-fout, stelt een niet-geauthenticeerde aanvaller in staat om willekeurige besturingssysteemcommando's uit te voeren via een speciaal gemaakt verzoek . Dit kan leiden tot volledige serverovername. De eval-injectie (CVE-2026-48273) en de onjuiste autorisatie (CVE-2026-71384) maken op vergelijkbare wijze code-uitvoering en privilege-escalatie mogelijk .

Adobe Commerce (APSB26-92) — Prioriteit 2 (Binnen 30 dagen updaten)

Adobe heeft 7 kwetsbaarheden in Commerce en Magento Open Source verholpen .

CVE	Type	CVSS	Impact
CVE-2026-71362	Onjuiste autorisatie	9,1	Privilege-escalatie (niet-geauthenticeerd, geen gebruikersinteractie)
Andere gepatchte CVE's	Diversen (hoge ernst)	—	Willekeurige code-uitvoering, omzeilen beveiligingsfuncties

• Getroffen versies: Adobe Commerce 2.4.9-2026-jul en eerder, plus de 2.4.8 tot en met 2.4.4-releaselijnen; Magento Open Source dezelfde versies; Commerce B2B-modules .
• Exploitatiestatus: Adobe meldt geen actieve exploits in het wild, maar Commerce is in het verleden wel doelwit geweest van aanvallen .
• Patchinstructies: Installeer de geïsoleerde patches van augustus 2026 vanuit de Adobe Commerce-kennisbank. Commerce op Cloud-klanten kunnen ook via Magento Cloud Patches updaten. Patches zijn cumulatief per releaselijn – de juli 2026-patch moet eerst zijn geïnstalleerd. Adobe raadt aan om binnen 30 dagen te patchen (prioriteit 2) .

De Commerce-fout CVE-2026-71362 is bijzonder gevaarlijk omdat er geen authenticatie en geen gebruikersinteractie voor nodig is. Een niet-geauthenticeerde aanvaller kan via het netwerk privileges escaleren . Dit kan leiden tot blootstelling van gevoelige klantgegevens en ongeautoriseerde systeemwijzigingen .

Bredere context: Adobe's Patch Tuesday van augustus 2026

Adobe heeft op 11 augustus vijf beveiligingsbulletins uitgebracht voor in totaal 51 CVE's in :

• Adobe ColdFusion (15 CVE's)
• Adobe Commerce / Magento Open Source (7 CVE's)
• Adobe Campaign Classic (meerdere kritieke fouten, waaronder twee met CVSS 10,0)
• Adobe Lightroom Classic
• Content Credentials SDK

Van de 51 kwetsbaarheden zijn 33 als kritiek beoordeeld . De meest ernstige in de hele release waren de ColdFusion OS-commandinjectie (CVSS 10,0) en de twee CVSS 10,0-fouten in Campaign Classic .

Belangrijkste punten voor securityteams

1. ColdFusion-gebruikers moeten direct patchen. De CVSS 10,0 RCE-fout (CVE-2026-48362) kan leiden tot volledige serverovername. Adobes prioriteit 1-classificatie duidt op een verhoogd risico op toekomstige targeting.
2. Commerce-gebruikers moeten binnen 30 dagen patchen. Hoewel er geen actieve exploits zijn gedetecteerd, is de niet-geauthenticeerde privilege-escalatievector (CVE-2026-71362) een serieus probleem, vooral gezien de geschiedenis van Commerce als doelwit.
3. Er zijn geen actieve exploits waargenomen voor een van deze kwetsbaarheden op de datum van het advies, maar de afwezigheid van proof-of-concept-code garandeert geen veiligheid .
4. Test patchimplementatie in staging-omgevingen voordat u naar productie uitrolt, vooral voor ColdFusion waar de fix van invloed kan zijn op aangepaste applicaties.
5. Houd rekening met cumulatieve patches voor Commerce: De juli 2026-patch moet eerst worden toegepast voordat de augustus 2026-patch kan worden geïnstalleerd .