• Dotknięte wersje: ColdFusion 2025 do wersji 2025.0.11, ColdFusion 2023 do wersji 2023.0.22. Poprawiono w 2025.0.12 i 2023.0.23 .
• Status wykorzystania: Adobe zgłosiło brak aktywnego wykorzystania w środowisku produkcyjnym na dzień publikacji .
• Zalecenia dotyczące łatania: Zastosuj aktualizację ColdFusion natychmiast. Adobe nadało jej priorytet 1 (najwyższe ryzyko – „wyższe ryzyko bycia celem w środowisku produkcyjnym”) .

CVE-2026-48362, najpoważniejsza luka w ColdFusion, pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnych poleceń systemu operacyjnego za pomocą spreparowanego żądania . Może to prowadzić do całkowitego przejęcia serwera. Błędy typu eval injection (CVE-2026-48273) i nieprawidłowej autoryzacji (CVE-2026-71384) również otwierają drogę do wykonania kodu i eskalacji uprawnień .

Adobe Commerce (APSB26-92) – Priority 2 (Zastosuj w ciągu 30 dni)

Adobe rozwiązało 7 luk w Commerce i Magento Open Source .

• Dotknięte wersje: Adobe Commerce od 2.4.9-2026-jul i wcześniejsze, w tym linie wydań 2.4.8 do 2.4.4; Magento Open Source w tych samych wersjach; moduły B2B Commerce .
• Status wykorzystania: Adobe zgłosiło brak aktywnego wykorzystania w środowisku produkcyjnym, ale Commerce był już celem ataków w przeszłości .
• Zalecenia dotyczące łatania: Zastosuj izolowane poprawki z sierpnia 2026 z bazy wiedzy Adobe Commerce. Klienci korzystający z Commerce w chmurze mogą również wdrożyć poprawki przez Magento Cloud Patches. Łaty są kumulatywne w ramach każdej linii wydania – należy najpierw zastosować poprawkę z lipca 2026. Adobe zaleca zastosowanie w ciągu 30 dni (Priority 2) .

Luka w Commerce, CVE-2026-71362, jest szczególnie niebezpieczna, ponieważ nie wymaga uwierzytelnienia ani interakcji użytkownika, co pozwala nieuwierzytelnionemu atakującemu na eskalację uprawnień przez sieć . Może to prowadzić do ujawnienia wrażliwych danych klientów i nieautoryzowanych modyfikacji systemu .

Szerszy kontekst: sierpniowy Patch Tuesday Adobe 2026

Adobe wydało pięć biuletynów bezpieczeństwa 11 sierpnia, dotyczących łącznie 51 luk :

• Adobe ColdFusion (15 luk)
• Adobe Commerce / Magento Open Source (7 luk)
• Adobe Campaign Classic (wiele krytycznych błędów, w tym dwa z CVSS 10.0)
• Adobe Lightroom Classic
• Content Credentials SDK

Z 51 podatności 33 uznano za krytyczne . Najpoważniejsze w całym wydaniu były: wstrzyknięcie poleceń OS w ColdFusion (CVSS 10.0) oraz dwa błędy w Campaign Classic z CVSS 10.0 .

Kluczowe wnioski dla zespołów bezpieczeństwa

1. Użytkownicy ColdFusion powinni zastosować łatkę natychmiast. Luka RCE z CVSS 10.0 (CVE-2026-48362) może prowadzić do całkowitego przejęcia serwera. Priorytet 1 nadany przez Adobe sygnalizuje podwyższone ryzyko przyszłego ataku.
2. Użytkownicy Commerce powinni zastosować łatkę w ciągu 30 dni. Mimo braku aktywnego wykorzystania, wektor eskalacji uprawnień bez uwierzytelnienia (CVE-2026-71362) jest poważnym zagrożeniem, zwłaszcza biorąc pod uwagę historię ataków na Commerce.
3. Nie zaobserwowano aktywnego wykorzystania żadnej z tych luk na dzień publikacji raportu, ale brak publicznego kodu proof-of-concept nie gwarantuje bezpieczeństwa .
4. Zweryfikuj zastosowanie łatki w środowiskach testowych przed wdrożeniem na produkcję, szczególnie w przypadku ColdFusion, gdzie poprawka może wpłynąć na działanie niestandardowych aplikacji.

• Dotknięte wersje: ColdFusion 2025 do wersji 2025.0.11, ColdFusion 2023 do wersji 2023.0.22. Poprawiono w 2025.0.12 i 2023.0.23 .
• Status wykorzystania: Adobe zgłosiło brak aktywnego wykorzystania w środowisku produkcyjnym na dzień publikacji .
• Zalecenia dotyczące łatania: Zastosuj aktualizację ColdFusion natychmiast. Adobe nadało jej priorytet 1 (najwyższe ryzyko – „wyższe ryzyko bycia celem w środowisku produkcyjnym”) .

CVE-2026-48362, najpoważniejsza luka w ColdFusion, pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnych poleceń systemu operacyjnego za pomocą spreparowanego żądania . Może to prowadzić do całkowitego przejęcia serwera. Błędy typu eval injection (CVE-2026-48273) i nieprawidłowej autoryzacji (CVE-2026-71384) również otwierają drogę do wykonania kodu i eskalacji uprawnień .

Adobe Commerce (APSB26-92) – Priority 2 (Zastosuj w ciągu 30 dni)

Adobe rozwiązało 7 luk w Commerce i Magento Open Source .

• Dotknięte wersje: Adobe Commerce od 2.4.9-2026-jul i wcześniejsze, w tym linie wydań 2.4.8 do 2.4.4; Magento Open Source w tych samych wersjach; moduły B2B Commerce .
• Status wykorzystania: Adobe zgłosiło brak aktywnego wykorzystania w środowisku produkcyjnym, ale Commerce był już celem ataków w przeszłości .
• Zalecenia dotyczące łatania: Zastosuj izolowane poprawki z sierpnia 2026 z bazy wiedzy Adobe Commerce. Klienci korzystający z Commerce w chmurze mogą również wdrożyć poprawki przez Magento Cloud Patches. Łaty są kumulatywne w ramach każdej linii wydania – należy najpierw zastosować poprawkę z lipca 2026. Adobe zaleca zastosowanie w ciągu 30 dni (Priority 2) .

Luka w Commerce, CVE-2026-71362, jest szczególnie niebezpieczna, ponieważ nie wymaga uwierzytelnienia ani interakcji użytkownika, co pozwala nieuwierzytelnionemu atakującemu na eskalację uprawnień przez sieć . Może to prowadzić do ujawnienia wrażliwych danych klientów i nieautoryzowanych modyfikacji systemu .

Szerszy kontekst: sierpniowy Patch Tuesday Adobe 2026

Adobe wydało pięć biuletynów bezpieczeństwa 11 sierpnia, dotyczących łącznie 51 luk :

• Adobe ColdFusion (15 luk)
• Adobe Commerce / Magento Open Source (7 luk)
• Adobe Campaign Classic (wiele krytycznych błędów, w tym dwa z CVSS 10.0)
• Adobe Lightroom Classic
• Content Credentials SDK

Z 51 podatności 33 uznano za krytyczne . Najpoważniejsze w całym wydaniu były: wstrzyknięcie poleceń OS w ColdFusion (CVSS 10.0) oraz dwa błędy w Campaign Classic z CVSS 10.0 .

Kluczowe wnioski dla zespołów bezpieczeństwa

1. Użytkownicy ColdFusion powinni zastosować łatkę natychmiast. Luka RCE z CVSS 10.0 (CVE-2026-48362) może prowadzić do całkowitego przejęcia serwera. Priorytet 1 nadany przez Adobe sygnalizuje podwyższone ryzyko przyszłego ataku.
2. Użytkownicy Commerce powinni zastosować łatkę w ciągu 30 dni. Mimo braku aktywnego wykorzystania, wektor eskalacji uprawnień bez uwierzytelnienia (CVE-2026-71362) jest poważnym zagrożeniem, zwłaszcza biorąc pod uwagę historię ataków na Commerce.
3. Nie zaobserwowano aktywnego wykorzystania żadnej z tych luk na dzień publikacji raportu, ale brak publicznego kodu proof-of-concept nie gwarantuje bezpieczeństwa .
4. Zweryfikuj zastosowanie łatki w środowiskach testowych przed wdrożeniem na produkcję, szczególnie w przypadku ColdFusion, gdzie poprawka może wpłynąć na działanie niestandardowych aplikacji.