• Getroffen versies: ColdFusion 2025 tot en met 2025.0.11, ColdFusion 2023 tot en met 2023.0.22. De fouten zijn verholpen in 2025.0.12 en 2023.0.23 .
• Exploitatiestatus: Adobe meldt dat er geen actieve exploits in het wild zijn op het moment van publicatie .
• Patchinstructies: Installeer de ColdFusion-beveiligingsupdate onmiddellijk. Adobe heeft prioriteit 1 toegekend (hoogste risico – "hoger risico om in het wild te worden getarget") .

CVE-2026-48362, de meest ernstige ColdFusion-fout, stelt een niet-geauthenticeerde aanvaller in staat om willekeurige besturingssysteemcommando's uit te voeren via een speciaal gemaakt verzoek . Dit kan leiden tot volledige serverovername. De eval-injectie (CVE-2026-48273) en de onjuiste autorisatie (CVE-2026-71384) maken op vergelijkbare wijze code-uitvoering en privilege-escalatie mogelijk .

Adobe Commerce (APSB26-92) — Prioriteit 2 (Binnen 30 dagen updaten)

Adobe heeft 7 kwetsbaarheden in Commerce en Magento Open Source verholpen .

• Getroffen versies: Adobe Commerce 2.4.9-2026-jul en eerder, plus de 2.4.8 tot en met 2.4.4-releaselijnen; Magento Open Source dezelfde versies; Commerce B2B-modules .
• Exploitatiestatus: Adobe meldt geen actieve exploits in het wild, maar Commerce is in het verleden wel doelwit geweest van aanvallen .
• Patchinstructies: Installeer de geïsoleerde patches van augustus 2026 vanuit de Adobe Commerce-kennisbank. Commerce op Cloud-klanten kunnen ook via Magento Cloud Patches updaten. Patches zijn cumulatief per releaselijn – de juli 2026-patch moet eerst zijn geïnstalleerd. Adobe raadt aan om binnen 30 dagen te patchen (prioriteit 2) .

De Commerce-fout CVE-2026-71362 is bijzonder gevaarlijk omdat er geen authenticatie en geen gebruikersinteractie voor nodig is. Een niet-geauthenticeerde aanvaller kan via het netwerk privileges escaleren . Dit kan leiden tot blootstelling van gevoelige klantgegevens en ongeautoriseerde systeemwijzigingen .

Bredere context: Adobe's Patch Tuesday van augustus 2026

Adobe heeft op 11 augustus vijf beveiligingsbulletins uitgebracht voor in totaal 51 CVE's in :

• Adobe ColdFusion (15 CVE's)
• Adobe Commerce / Magento Open Source (7 CVE's)
• Adobe Campaign Classic (meerdere kritieke fouten, waaronder twee met CVSS 10,0)
• Adobe Lightroom Classic
• Content Credentials SDK

Van de 51 kwetsbaarheden zijn 33 als kritiek beoordeeld . De meest ernstige in de hele release waren de ColdFusion OS-commandinjectie (CVSS 10,0) en de twee CVSS 10,0-fouten in Campaign Classic .

Belangrijkste punten voor securityteams

1. ColdFusion-gebruikers moeten direct patchen. De CVSS 10,0 RCE-fout (CVE-2026-48362) kan leiden tot volledige serverovername. Adobes prioriteit 1-classificatie duidt op een verhoogd risico op toekomstige targeting.
2. Commerce-gebruikers moeten binnen 30 dagen patchen. Hoewel er geen actieve exploits zijn gedetecteerd, is de niet-geauthenticeerde privilege-escalatievector (CVE-2026-71362) een serieus probleem, vooral gezien de geschiedenis van Commerce als doelwit.
3. Er zijn geen actieve exploits waargenomen voor een van deze kwetsbaarheden op de datum van het advies, maar de afwezigheid van proof-of-concept-code garandeert geen veiligheid .
4. Test patchimplementatie in staging-omgevingen voordat u naar productie uitrolt, vooral voor ColdFusion waar de fix van invloed kan zijn op aangepaste applicaties.
5. Houd rekening met cumulatieve patches voor Commerce: De juli 2026-patch moet eerst worden toegepast voordat de augustus 2026-patch kan worden geïnstalleerd .

• Getroffen versies: ColdFusion 2025 tot en met 2025.0.11, ColdFusion 2023 tot en met 2023.0.22. De fouten zijn verholpen in 2025.0.12 en 2023.0.23 .
• Exploitatiestatus: Adobe meldt dat er geen actieve exploits in het wild zijn op het moment van publicatie .
• Patchinstructies: Installeer de ColdFusion-beveiligingsupdate onmiddellijk. Adobe heeft prioriteit 1 toegekend (hoogste risico – "hoger risico om in het wild te worden getarget") .

CVE-2026-48362, de meest ernstige ColdFusion-fout, stelt een niet-geauthenticeerde aanvaller in staat om willekeurige besturingssysteemcommando's uit te voeren via een speciaal gemaakt verzoek . Dit kan leiden tot volledige serverovername. De eval-injectie (CVE-2026-48273) en de onjuiste autorisatie (CVE-2026-71384) maken op vergelijkbare wijze code-uitvoering en privilege-escalatie mogelijk .

Adobe Commerce (APSB26-92) — Prioriteit 2 (Binnen 30 dagen updaten)

Adobe heeft 7 kwetsbaarheden in Commerce en Magento Open Source verholpen .

• Getroffen versies: Adobe Commerce 2.4.9-2026-jul en eerder, plus de 2.4.8 tot en met 2.4.4-releaselijnen; Magento Open Source dezelfde versies; Commerce B2B-modules .
• Exploitatiestatus: Adobe meldt geen actieve exploits in het wild, maar Commerce is in het verleden wel doelwit geweest van aanvallen .
• Patchinstructies: Installeer de geïsoleerde patches van augustus 2026 vanuit de Adobe Commerce-kennisbank. Commerce op Cloud-klanten kunnen ook via Magento Cloud Patches updaten. Patches zijn cumulatief per releaselijn – de juli 2026-patch moet eerst zijn geïnstalleerd. Adobe raadt aan om binnen 30 dagen te patchen (prioriteit 2) .

De Commerce-fout CVE-2026-71362 is bijzonder gevaarlijk omdat er geen authenticatie en geen gebruikersinteractie voor nodig is. Een niet-geauthenticeerde aanvaller kan via het netwerk privileges escaleren . Dit kan leiden tot blootstelling van gevoelige klantgegevens en ongeautoriseerde systeemwijzigingen .

Bredere context: Adobe's Patch Tuesday van augustus 2026

Adobe heeft op 11 augustus vijf beveiligingsbulletins uitgebracht voor in totaal 51 CVE's in :

• Adobe ColdFusion (15 CVE's)
• Adobe Commerce / Magento Open Source (7 CVE's)
• Adobe Campaign Classic (meerdere kritieke fouten, waaronder twee met CVSS 10,0)
• Adobe Lightroom Classic
• Content Credentials SDK

Van de 51 kwetsbaarheden zijn 33 als kritiek beoordeeld . De meest ernstige in de hele release waren de ColdFusion OS-commandinjectie (CVSS 10,0) en de twee CVSS 10,0-fouten in Campaign Classic .

Belangrijkste punten voor securityteams

1. ColdFusion-gebruikers moeten direct patchen. De CVSS 10,0 RCE-fout (CVE-2026-48362) kan leiden tot volledige serverovername. Adobes prioriteit 1-classificatie duidt op een verhoogd risico op toekomstige targeting.
2. Commerce-gebruikers moeten binnen 30 dagen patchen. Hoewel er geen actieve exploits zijn gedetecteerd, is de niet-geauthenticeerde privilege-escalatievector (CVE-2026-71362) een serieus probleem, vooral gezien de geschiedenis van Commerce als doelwit.
3. Er zijn geen actieve exploits waargenomen voor een van deze kwetsbaarheden op de datum van het advies, maar de afwezigheid van proof-of-concept-code garandeert geen veiligheid .
4. Test patchimplementatie in staging-omgevingen voordat u naar productie uitrolt, vooral voor ColdFusion waar de fix van invloed kan zijn op aangepaste applicaties.
5. Houd rekening met cumulatieve patches voor Commerce: De juli 2026-patch moet eerst worden toegepast voordat de augustus 2026-patch kan worden geïnstalleerd .