Patch de agosto da Adobe: vulnerabilidades críticas em ColdFusion e Commerce exigem atenção imediata

Em 11 de agosto de 2026, a Adobe lançou atualizações de segurança que corrigem mais de 50 vulnerabilidades em seus produtos. As correções mais urgentes são para o ColdFusion e o Adobe Commerce, ambos amplamente utilizados em ambientes corporativos. Embora a Adobe não tenha relatado exploração ativa até o momento da divulgação, a gravidade de certas falhas — incluindo uma vulnerabilidade de execução remota de código (RCE) com CVSS 10.0 no ColdFusion — exige ação imediata das equipes de segurança .

Adobe ColdFusion (APSB26-90) — Prioridade 1 (Atualize Imediatamente)

A Adobe corrigiu 15 falhas de segurança no ColdFusion 2025 e 2023. Três foram classificadas como críticas :

CVE	Tipo	CVSS	Impacto
CVE-2026-48362	Injeção de comandos no SO	10.0	Execução remota de código
CVE-2026-48273	Injeção de eval	9.9	Execução remota de código
CVE-2026-71384	Autorização incorreta	9.6	Bypass de controles de segurança, acesso administrativo

• Versões afetadas: ColdFusion 2025 até a versão 2025.0.11, ColdFusion 2023 até a versão 2023.0.22. Corrigido nas versões 2025.0.12 e 2023.0.23 .
• Status de exploração: A Adobe informou que não há exploração ativa conhecida até o momento do lançamento .
• Orientações para correção: Aplique a atualização de segurança do ColdFusion imediatamente. A Adobe atribuiu a Prioridade 1 (risco mais alto — "maior risco de ser alvo no mundo real") .

A CVE-2026-48362, a falha mais grave do ColdFusion, permite que um invasor não autenticado execute comandos arbitrários do sistema operacional por meio de uma requisição maliciosa . Isso pode levar ao comprometimento total do servidor. As falhas de injeção de eval (CVE-2026-48273) e de autorização incorreta (CVE-2026-71384) também abrem caminho para execução de código e escalonamento de privilégio .

Adobe Commerce (APSB26-92) — Prioridade 2 (Aplique em Até 30 Dias)

A Adobe resolveu 7 vulnerabilidades no Commerce e no Magento Open Source .

CVE	Tipo	CVSS	Impacto
CVE-2026-71362	Autorização incorreta	9.1	Escalonamento de privilégio (não autenticado, sem interação do usuário)
Outras CVEs corrigidas	Várias (alta gravidade)	—	Execução arbitrária de código, bypass de recurso de segurança

• Versões afetadas: Adobe Commerce 2.4.9-2026-jul e anteriores, além das linhas de lançamento 2.4.8 a 2.4.4; Magento Open Source nas mesmas versões; módulos B2B do Commerce .
• Status de exploração: A Adobe informou que não há exploração ativa conhecida, mas o Commerce já foi alvo de ataques no passado .
• Orientações para correção: Aplique os patches isolados de agosto de 2026 da base de conhecimento do Adobe Commerce. Clientes do Commerce na nuvem também podem implantar via Magento Cloud Patches. Os patches são cumulativos por linha de lançamento — o patch de julho de 2026 deve ser aplicado primeiro. A Adobe recomenda a aplicação em até 30 dias (Prioridade 2) .

A falha do Commerce CVE-2026-71362 é particularmente perigosa porque não exige autenticação nem interação do usuário, permitindo que um invasor não autenticado aumente privilégios pela rede . Isso pode expor dados confidenciais de clientes e permitir modificações não autorizadas no sistema .

Contexto Geral: Patch Tuesday de agosto de 2026 da Adobe

A Adobe lançou cinco boletins de segurança em 11 de agosto, abordando um total de 51 CVEs em :

• Adobe ColdFusion (15 CVEs)
• Adobe Commerce / Magento Open Source (7 CVEs)
• Adobe Campaign Classic (várias falhas críticas, incluindo duas com CVSS 10.0)
• Adobe Lightroom Classic
• SDK Content Credentials

Das 51 vulnerabilidades, 33 foram classificadas como críticas . Os itens de maior gravidade em todo o lançamento foram a injeção de comandos do SO no ColdFusion (CVSS 10.0) e as duas falhas do Campaign Classic com CVSS 10.0 .

Principais Recomendações para as Equipes de Segurança

1. Usuários do ColdFusion devem atualizar imediatamente. A falha de RCE com CVSS 10.0 (CVE-2026-48362) pode levar ao comprometimento total do servidor. A classificação de Prioridade 1 da Adobe sinaliza um risco elevado de ser alvo no futuro.
2. Usuários do Commerce devem atualizar em até 30 dias. Embora não tenha sido detectada exploração ativa, o vetor de escalonamento de privilégio não autenticado (CVE-2026-71362) é uma preocupação séria, especialmente dado o histórico do Commerce como alvo.
3. Não há exploração ativa conhecida para nenhuma dessas vulnerabilidades até a data do aviso, mas a ausência de código de prova de conceito não garante segurança .
4. Verifique a aplicação do patch em ambientes de homologação antes de implantar em produção, especialmente para o ColdFusion, onde a correção pode afetar aplicações personalizadas.