Akut säkerhetsuppdatering från Adobe: Kritiska sårbarheter i ColdFusion och Commerce

CVE-2026-48362, den allvarligaste ColdFusion-bristen, gör det möjligt för en oautentiserad angripare att exekvera godtyckliga operativsystemskommandon via en manipulerad förfrågan . Detta kan leda till att hela servern tas över. Även eval-injektionen (CVE-2026-48273) och den felaktiga auktorisationen (CVE-2026-71384) öppnar dörren för kodexekvering och privilegieeskalering .

Adobe Commerce (APSB26-92) – Prioritet 2 (Åtgärda inom 30 dagar)

Adobe har åtgärdat 7 sårbarheter i Commerce och Magento Open Source .

• Berörda versioner: Adobe Commerce 2.4.9-2026-jul och tidigare, samt 2.4.8 till och med 2.4.4; Magento Open Source samma versioner; Commerce B2B-moduler .
• Utnyttjandestatus: Adobe uppger att inga aktiva attacker har observerats, men Commerce har varit måltavla vid tidigare attacker .
• Rekommendation: Installera isolerade patchar från Adobes kunskapsbas för Commerce. Kunder som använder Commerce i molnet kan även distribuera via Magento Cloud Patches. Patcharna är kumulativa per release – julipatchen måste installeras först. Adobe rekommenderar att uppdateringen görs inom 30 dagar (prioritet 2) .

Commerce-bristen CVE-2026-71362 är särskilt allvarlig eftersom den inte kräver autentisering eller användarinteraktion, vilket gör att en oautentiserad angripare kan eskalera sina rättigheter över nätverket . Detta kan exponera känslig kunddata och möjliggöra obehöriga systemändringar .

Övergripande: Adobes patch-tisdag i augusti 2026

Adobe släppte fem säkerhetsbulletiner den 11 augusti som totalt adresserar 51 CVE:er inom :

• Adobe ColdFusion (15 CVE:er)
• Adobe Commerce / Magento Open Source (7 CVE:er)
• Adobe Campaign Classic (flera kritiska brister, inklusive två med CVSS 10,0)
• Adobe Lightroom Classic
• Content Credentials SDK

Av de 51 sårbarheterna var 33 klassificerade som kritiska . De allvarligaste bristerna i hela releasen var ColdFusions OS-kommandoinjektion (CVSS 10,0) och Campaign Classics två CVSS 10,0-brister .

Viktiga slutsatser för säkerhetsteam

1. ColdFusion-användare bör uppdatera omedelbart. CVSS 10,0 RCE-bristen (CVE-2026-48362) kan leda till att hela servern tas över. Adobes prioritet 1 indikerar en förhöjd risk för framtida attacker.
2. Commerce-användare bör uppdatera inom 30 dagar. Även om inga aktiva attacker har upptäckts är den oautentiserade privilegieeskaleringsvektorn (CVE-2026-71362) ett allvarligt hot, särskilt med tanke på Commerces historia som attackmål.
3. Inga aktiva attacker har observerats för någon av dessa sårbarheter vid rapporttillfället, men frånvaron av bevis är inte en garanti för säkerhet .
4. Verifiera patchinstallation i testmiljöer innan produktionsmiljöer uppdateras, särskilt för ColdFusion där korrigeringen kan påverka anpassade applikationer.