Adobe выпустила срочные патчи для ColdFusion и Commerce: критическая уязвимость с рейтингом CVSS 10.0

11 августа 2026 года Adobe выпустила масштабное обновление безопасности, закрывающее более 50 уязвимостей в своих продуктах. Наиболее критичные исправления затронули ColdFusion и Adobe Commerce — решения, широко используемые в корпоративном секторе. На момент публикации бюллетеней данных об активной эксплуатации этих уязвимостей не поступало, однако уровень угрозы — максимальный .

Adobe ColdFusion (APSB26-90) — Priority 1 (обновить немедленно)

Adobe исправила 15 дефектов безопасности в ColdFusion 2025 и 2023. Три из них получили статус критических :

CVE	Тип уязвимости	CVSS	Возможные последствия
CVE-2026-48362	OS command injection	10.0	Удалённое выполнение кода
CVE-2026-48273	Eval injection	9.9	Удалённое выполнение кода
CVE-2026-71384	Ошибка авторизации	9.6	Обход контроля доступа, получение прав администратора

• Уязвимые версии: ColdFusion 2025 до версии 2025.0.11 включительно, ColdFusion 2023 до версии 2023.0.22 включительно. Исправление доступно в версиях 2025.0.12 и 2023.0.23 .
• Статус эксплуатации: По данным Adobe, на момент выхода патча активных атак с использованием этих уязвимостей не зафиксировано .
• Рекомендации по установке: Adobe присвоила этому обновлению наивысший приоритет (Priority 1), что означает «повышенный риск атак в будущем» . Промедление крайне опасно.

Наибольшую угрозу представляет CVE-2026-48362 (CVSS 10.0): неаутентифицированный злоумышленник может отправить специально сформированный запрос и выполнить произвольные команды в операционной системе сервера, что ведёт к полной компрометации системы . Уязвимости CVE-2026-48273 и CVE-2026-71384 также открывают путь к выполнению кода и повышению привилегий .

Adobe Commerce (APSB26-92) — Priority 2 (установить в течение 30 дней)

Adobe устранила 7 уязвимостей в Commerce и Magento Open Source .

CVE	Тип уязвимости	CVSS	Возможные последствия
CVE-2026-71362	Ошибка авторизации	9.1	Повышение привилегий (не требует аутентификации и действий пользователя)
Прочие исправленные CVE	Различные (высокий уровень опасности)	—	Произвольное выполнение кода, обход механизмов безопасности

• Уязвимые версии: Adobe Commerce 2.4.9-2026-jul и более ранние, а также версии линеек 2.4.8–2.4.4; Magento Open Source тех же версий; модули Commerce B2B .
• Статус эксплуатации: По данным Adobe, активных атак не зафиксировано. Однако платформа Commerce неоднократно становилась мишенью злоумышленников в прошлом .
• Рекомендации по установке: Необходимо применить изолированные патчи (Isolated Patches) за август 2026 года из базы знаний Adobe Commerce. Клиенты Commerce on Cloud могут установить обновление через Magento Cloud Patches. Патчи являются накопительными в пределах каждой линейки релизов, но перед установкой августовского патча обязательно должен быть установлен июльский. Adobe рекомендует установить обновление в течение 30 дней (Priority 2) .

Уязвимость CVE-2026-71362 особенно опасна тем, что злоумышленнику не нужно ни проходить аутентификацию, ни совершать какие-либо действия от имени пользователя — это позволяет удалённо повысить привилегии в системе . Потенциальные последствия: утечка конфиденциальных данных клиентов и несанкционированная модификация системы .

Общий контекст: Adobe Patch Tuesday, август 2026

Всего 11 августа Adobe выпустила пять бюллетеней безопасности, в которых были закрыты 51 уязвимость (CVE) в следующих продуктах :

• Adobe ColdFusion (15 CVE)
• Adobe Commerce / Magento Open Source (7 CVE)
• Adobe Campaign Classic (несколько критических дефектов, в том числе два с рейтингом CVSS 10.0)
• Adobe Lightroom Classic
• Content Credentials SDK

Из 51 уязвимости 33 были признаны критическими . Наиболее опасными во всём релизе стали OS command injection в ColdFusion (CVSS 10.0) и две уязвимости в Campaign Classic с тем же максимальным баллом .

Ключевые выводы для специалистов по безопасности

1. Пользователям ColdFusion необходимо установить патч немедленно. Уязвимость CVE-2026-48362 (CVSS 10.0) позволяет полностью скомпрометировать сервер. Присвоенный Adobe приоритет Priority 1 указывает на повышенный риск атак в ближайшее время.
2. Пользователям Commerce следует установить обновление в течение 30 дней. Хотя активных атак пока не выявлено, неаутентифицированный вектор повышения привилегий (CVE-2026-71362) представляет серьёзную угрозу, особенно с учётом прошлых атак на платформу.
3. На данный момент активной эксплуатации этих уязвимостей не обнаружено . Однако отсутствие публичного PoC-кода не гарантирует безопасности.
4. Рекомендуется протестировать установку патча в тестовой среде перед развёртыванием на продуктивных серверах, особенно для ColdFusion, где обновление может повлиять на работу пользовательских приложений.