Adobe Ağustos 2026 Güvenlik Güncellemesi: ColdFusion ve Commerce'te Kritik Açıklar

En ciddi ColdFusion kusuru olan CVE-2026-48362, kimliği doğrulanmamış bir saldırganın özel hazırlanmış bir istek aracılığıyla keyfi işletim sistemi komutları çalıştırmasına olanak tanır . Bu, sunucunun tamamen ele geçirilmesine yol açabilir. Eval enjeksiyonu (CVE-2026-48273) ve hatalı yetkilendirme (CVE-2026-71384) açıkları da benzer şekilde kod yürütme ve ayrıcalık yükseltme için kapı aralar .

Adobe Commerce (APSB26-92) — Priority 2 (30 Gün İçinde Uygulayın)

Adobe, Commerce ve Magento Open Source'taki 7 güvenlik açığını giderdi .

• Etkilenen sürümler: Adobe Commerce 2.4.9-2026-jul ve öncesi, ayrıca 2.4.8 ila 2.4.4 sürüm hatları; Magento Open Source aynı sürümler; Commerce B2B modülleri .
• İstismar durumu: Adobe, vahşi ortamda aktif bir istismar tespit edilmediğini ancak Commerce'in geçmiş saldırılarda hedef alındığının bilindiğini bildirdi .
• Yama talimatı: Adobe Commerce bilgi bankasındaki Ağustos 2026 İzole yamaları uygulayın. Cloud müşterileri ayrıca Magento Cloud Patches aracılığıyla da dağıtım yapabilir. Yamalar sürüm hattı başına kümülatiftir — öncelikle Temmuz 2026 yamasının uygulanması gerekir. Adobe, 30 gün içinde uygulanmasını öneriyor (Priority 2) .

Commerce açığı CVE-2026-71362, hiçbir kimlik doğrulaması ve kullanıcı etkileşimi gerektirmediği için özellikle tehlikelidir; kimliği doğrulanmamış bir saldırganın ağ üzerinden ayrıcalıklarını yükseltmesine olanak tanır . Bu, hassas müşteri verilerinin ifşa olmasına ve yetkisiz sistem değişikliklerine yol açabilir .

Daha Geniş Bağlam: Adobe'nin Ağustos 2026 Patch Tuesday'i

Adobe, 11 Ağustos'ta toplam 51 CVE'yi ele alan beş güvenlik bülteni yayımladı :

• Adobe ColdFusion (15 CVE)
• Adobe Commerce / Magento Open Source (7 CVE)
• Adobe Campaign Classic (ikisi CVSS 10.0 olmak üzere birden çok kritik kusur)
• Adobe Lightroom Classic
• Content Credentials SDK

51 güvenlik açığından 33'ü kritik olarak derecelendirildi . Tüm sürüm genelindeki en yüksek önem derecesine sahip öğeler, ColdFusion OS komut enjeksiyonu (CVSS 10.0) ve Campaign Classic'in iki CVSS 10.0 kusuruydu .

Güvenlik Ekipleri İçin Önemli Çıkarımlar

1. ColdFusion kullanıcıları yamayı hemen uygulamalı. CVSS 10.0 RCE açığı (CVE-2026-48362), sunucunun tamamen ele geçirilmesine yol açabilir. Adobe'nin Priority 1 derecesi, gelecekte hedef alınma riskinin yüksek olduğunu gösterir.
2. Commerce kullanıcıları yamayı 30 gün içinde uygulamalı. Herhangi bir aktif istismar tespit edilmemiş olsa da, kimlik doğrulamasız ayrıcalık yükseltme vektörü (CVE-2026-71362), özellikle Commerce'in geçmişte hedef alındığı göz önüne alındığında ciddi bir endişe kaynağıdır.
3. Bu güvenlik açıklarının hiçbiri için aktif bir istismar gözlemlenmemiştir, ancak kanıt niteliğinde kodun (PoC) bulunmaması güvenli olduğu anlamına gelmez .
4. Yama uygulamasını, özellikle düzeltmenin özel uygulamaları etkileyebileceği ColdFusion için, üretime geçirmeden önce test ortamlarında doğrulayın.