• Versões afetadas: ColdFusion 2025 até a versão 2025.0.11, ColdFusion 2023 até a versão 2023.0.22. Corrigido nas versões 2025.0.12 e 2023.0.23 .
• Status de exploração: A Adobe informou que não há exploração ativa conhecida até o momento do lançamento .
• Orientações para correção: Aplique a atualização de segurança do ColdFusion imediatamente. A Adobe atribuiu a Prioridade 1 (risco mais alto — "maior risco de ser alvo no mundo real") .

A CVE-2026-48362, a falha mais grave do ColdFusion, permite que um invasor não autenticado execute comandos arbitrários do sistema operacional por meio de uma requisição maliciosa . Isso pode levar ao comprometimento total do servidor. As falhas de injeção de eval (CVE-2026-48273) e de autorização incorreta (CVE-2026-71384) também abrem caminho para execução de código e escalonamento de privilégio .

Adobe Commerce (APSB26-92) — Prioridade 2 (Aplique em Até 30 Dias)

A Adobe resolveu 7 vulnerabilidades no Commerce e no Magento Open Source .

• Versões afetadas: Adobe Commerce 2.4.9-2026-jul e anteriores, além das linhas de lançamento 2.4.8 a 2.4.4; Magento Open Source nas mesmas versões; módulos B2B do Commerce .
• Status de exploração: A Adobe informou que não há exploração ativa conhecida, mas o Commerce já foi alvo de ataques no passado .
• Orientações para correção: Aplique os patches isolados de agosto de 2026 da base de conhecimento do Adobe Commerce. Clientes do Commerce na nuvem também podem implantar via Magento Cloud Patches. Os patches são cumulativos por linha de lançamento — o patch de julho de 2026 deve ser aplicado primeiro. A Adobe recomenda a aplicação em até 30 dias (Prioridade 2) .

A falha do Commerce CVE-2026-71362 é particularmente perigosa porque não exige autenticação nem interação do usuário, permitindo que um invasor não autenticado aumente privilégios pela rede . Isso pode expor dados confidenciais de clientes e permitir modificações não autorizadas no sistema .

Contexto Geral: Patch Tuesday de agosto de 2026 da Adobe

A Adobe lançou cinco boletins de segurança em 11 de agosto, abordando um total de 51 CVEs em :

• Adobe ColdFusion (15 CVEs)
• Adobe Commerce / Magento Open Source (7 CVEs)
• Adobe Campaign Classic (várias falhas críticas, incluindo duas com CVSS 10.0)
• Adobe Lightroom Classic
• SDK Content Credentials

Das 51 vulnerabilidades, 33 foram classificadas como críticas . Os itens de maior gravidade em todo o lançamento foram a injeção de comandos do SO no ColdFusion (CVSS 10.0) e as duas falhas do Campaign Classic com CVSS 10.0 .

Principais Recomendações para as Equipes de Segurança

1. Usuários do ColdFusion devem atualizar imediatamente. A falha de RCE com CVSS 10.0 (CVE-2026-48362) pode levar ao comprometimento total do servidor. A classificação de Prioridade 1 da Adobe sinaliza um risco elevado de ser alvo no futuro.
2. Usuários do Commerce devem atualizar em até 30 dias. Embora não tenha sido detectada exploração ativa, o vetor de escalonamento de privilégio não autenticado (CVE-2026-71362) é uma preocupação séria, especialmente dado o histórico do Commerce como alvo.
3. Não há exploração ativa conhecida para nenhuma dessas vulnerabilidades até a data do aviso, mas a ausência de código de prova de conceito não garante segurança .
4. Verifique a aplicação do patch em ambientes de homologação antes de implantar em produção, especialmente para o ColdFusion, onde a correção pode afetar aplicações personalizadas.

• Versões afetadas: ColdFusion 2025 até a versão 2025.0.11, ColdFusion 2023 até a versão 2023.0.22. Corrigido nas versões 2025.0.12 e 2023.0.23 .
• Status de exploração: A Adobe informou que não há exploração ativa conhecida até o momento do lançamento .
• Orientações para correção: Aplique a atualização de segurança do ColdFusion imediatamente. A Adobe atribuiu a Prioridade 1 (risco mais alto — "maior risco de ser alvo no mundo real") .

A CVE-2026-48362, a falha mais grave do ColdFusion, permite que um invasor não autenticado execute comandos arbitrários do sistema operacional por meio de uma requisição maliciosa . Isso pode levar ao comprometimento total do servidor. As falhas de injeção de eval (CVE-2026-48273) e de autorização incorreta (CVE-2026-71384) também abrem caminho para execução de código e escalonamento de privilégio .

Adobe Commerce (APSB26-92) — Prioridade 2 (Aplique em Até 30 Dias)

A Adobe resolveu 7 vulnerabilidades no Commerce e no Magento Open Source .

• Versões afetadas: Adobe Commerce 2.4.9-2026-jul e anteriores, além das linhas de lançamento 2.4.8 a 2.4.4; Magento Open Source nas mesmas versões; módulos B2B do Commerce .
• Status de exploração: A Adobe informou que não há exploração ativa conhecida, mas o Commerce já foi alvo de ataques no passado .
• Orientações para correção: Aplique os patches isolados de agosto de 2026 da base de conhecimento do Adobe Commerce. Clientes do Commerce na nuvem também podem implantar via Magento Cloud Patches. Os patches são cumulativos por linha de lançamento — o patch de julho de 2026 deve ser aplicado primeiro. A Adobe recomenda a aplicação em até 30 dias (Prioridade 2) .

A falha do Commerce CVE-2026-71362 é particularmente perigosa porque não exige autenticação nem interação do usuário, permitindo que um invasor não autenticado aumente privilégios pela rede . Isso pode expor dados confidenciais de clientes e permitir modificações não autorizadas no sistema .

Contexto Geral: Patch Tuesday de agosto de 2026 da Adobe

A Adobe lançou cinco boletins de segurança em 11 de agosto, abordando um total de 51 CVEs em :

• Adobe ColdFusion (15 CVEs)
• Adobe Commerce / Magento Open Source (7 CVEs)
• Adobe Campaign Classic (várias falhas críticas, incluindo duas com CVSS 10.0)
• Adobe Lightroom Classic
• SDK Content Credentials

Das 51 vulnerabilidades, 33 foram classificadas como críticas . Os itens de maior gravidade em todo o lançamento foram a injeção de comandos do SO no ColdFusion (CVSS 10.0) e as duas falhas do Campaign Classic com CVSS 10.0 .

Principais Recomendações para as Equipes de Segurança

1. Usuários do ColdFusion devem atualizar imediatamente. A falha de RCE com CVSS 10.0 (CVE-2026-48362) pode levar ao comprometimento total do servidor. A classificação de Prioridade 1 da Adobe sinaliza um risco elevado de ser alvo no futuro.
2. Usuários do Commerce devem atualizar em até 30 dias. Embora não tenha sido detectada exploração ativa, o vetor de escalonamento de privilégio não autenticado (CVE-2026-71362) é uma preocupação séria, especialmente dado o histórico do Commerce como alvo.
3. Não há exploração ativa conhecida para nenhuma dessas vulnerabilidades até a data do aviso, mas a ausência de código de prova de conceito não garante segurança .
4. Verifique a aplicação do patch em ambientes de homologação antes de implantar em produção, especialmente para o ColdFusion, onde a correção pode afetar aplicações personalizadas.