Adobe august 2026: Kritisk sikkerhetshull i ColdFusion og Commerce

CVE-2026-48362, den alvorligste ColdFusion-feilen, lar en uautentisert angriper kjøre vilkårlige OS-kommandoer via en spesiallaget forespørsel . Dette kan føre til fullstendig kompromittering av serveren. Eval-injeksjonen (CVE-2026-48273) og autorisasjonsfeilen (CVE-2026-71384) åpner på samme måte for kjøring av kode og rettighetseskalering .

Adobe Commerce (APSB26-92) — Prioritet 2 (oppdater innen 30 dager)

Adobe har fikset 7 sårbarheter i Commerce og Magento Open Source .

• Berørte versjoner: Adobe Commerce 2.4.9-2026-jul og tidligere, samt 2.4.8 til og med 2.4.4-linjen; Magento Open Source samme versjoner; Commerce B2B-moduler .
• Utnyttelsesstatus: Ingen kjente angrep i ville, men Commerce har tidligere vært mål for angrep .
• Oppdateringsveiledning: Bruk august 2026 «Isolated patches» fra Adobe Commerce kunnskapsbase. Commerce på Cloud kan også oppdatere via Magento Cloud Patches. Rettelsene er kumulative per versjonslinje – juli 2026-oppdateringen må være installert først. Adobe anbefaler oppdatering innen 30 dager (prioritet 2) .

Commerce-feilen CVE-2026-71362 er spesielt farlig fordi den ikke krever autentisering eller brukerinteraksjon, slik at en uautentisert angriper kan eskalere rettigheter over nettverket . Dette kan eksponere sensitiv kundedata og muliggjøre uautoriserte systemendringer .

Bredere kontekst: Adobes patche-tirsdag i august 2026

Adobe publiserte fem sikkerhetsbulletiner 11. august, som til sammen dekker 51 CVS-er på tvers av :

• Adobe ColdFusion (15 CVS-er)
• Adobe Commerce / Magento Open Source (7 CVS-er)
• Adobe Campaign Classic (flere kritiske feil, inkludert to med CVSS 10,0)
• Adobe Lightroom Classic
• Content Credentials SDK

Av de 51 sårbarhetene var 33 klassifisert som kritiske . De mest alvorlige sakene i hele lanseringen var ColdFusion OS-kommandoinjeksjonen (CVSS 10,0) og Campaign Classics to CVSS 10,0-feil .

Hva bør norske sikkerhetsteam gjøre?

1. ColdFusion-brukere må oppdatere umiddelbart. CVSS 10,0 RCE-feilen (CVE-2026-48362) kan føre til full kompromittering av serveren. Adobes prioritet 1 signaliserer økt risiko for fremtidige angrep.
2. Commerce-brukere bør oppdatere innen 30 dager. Selv om ingen aktive angrep er oppdaget, er den uautentiserte rettighetseskaleringen (CVE-2026-71362) en alvorlig trussel, spesielt gitt at Commerce tidligere har vært et mål.
3. Ingen aktive angrep er observert for noen av disse sårbarhetene per rådgivningsdato, men fravær av utnyttelseskode er ingen garanti for sikkerhet .
4. Test oppdateringer i staging-miljøer før utrulling i produksjon, spesielt for ColdFusion der rettelsen kan påvirke tilpassede applikasjoner.