Adobe закриває понад 50 вразливостей: у ColdFusion знайдено «дірку» з оцінкою CVSS 10.0, яку варто залатати негайно

Найнебезпечніша вразливість ColdFusion, CVE-2026-48362, дозволяє неавтентифікованому зловмиснику виконати довільні команди операційної системи на сервері за допомогою спеціально сформованого запиту . Це може призвести до повного захоплення сервера. Ін'єкція eval (CVE-2026-48273) та помилка авторизації (CVE-2026-71384) також відкривають шлях для виконання коду та підвищення привілеїв .

Adobe Commerce (APSB26-92) — Priority 2 (Застосувати протягом 30 днів)

Adobe усунула 7 вразливостей у Commerce та Magento Open Source .

• Уражені версії: Adobe Commerce 2.4.9-2026-jul та старіші, а також лінійки випуску 2.4.8–2.4.4; Magento Open Source тих самих версій; модулі Commerce B2B .
• Статус експлуатації: Активних атак не виявлено, проте Commerce в минулому вже був мішенню кіберзлочинців .
• Рекомендації: Встановіть ізольовані патчі серпня 2026 року з бази знань Adobe Commerce. Клієнти Commerce на Cloud-інфраструктурі також можуть застосувати виправлення через Magento Cloud Patches. Патчі є накопичувальними для кожної лінійки випуску — спочатку потрібно встановити липневий патч 2026 року. Adobe рекомендує оновитися протягом 30 днів (Priority 2) .

Вразливість Commerce CVE-2026-71362 є особливо небезпечною, оскільки не потребує автентифікації та жодних дій з боку користувача — це дозволяє неавтентифікованому зловмиснику підвищити привілеї через мережу . Успішна атака може відкрити доступ до конфіденційних даних клієнтів та дозволити несанкціоноване внесення змін до системи .

Загальний контекст: «Пач-вівторок» Adobe за серпень 2026

Adobe оприлюднила п'ять бюлетенів безпеки 11 серпня, які загалом усувають 51 CVE у таких продуктах :

• Adobe ColdFusion (15 CVE)
• Adobe Commerce / Magento Open Source (7 CVE)
• Adobe Campaign Classic (кілька критичних помилок, зокрема дві з CVSS 10.0)
• Adobe Lightroom Classic
• Content Credentials SDK

Із 51 вразливості 33 визнано критичними . Найвищий рівень серйозності в цьому випуску мають ColdFusion (ін'єкція команд ОС з CVSS 10.0) та дві вразливості Campaign Classic з CVSS 10.0 .

Ключові висновки для команд безпеки

1. Користувачам ColdFusion слід оновитися негайно. Вразливість CVE-2026-48362 (CVSS 10.0) може призвести до повного захоплення сервера. Рейтинг Priority 1 від Adobe свідчить про підвищений ризик цілеспрямованих атак у майбутньому.
2. Користувачам Commerce слід оновитися протягом 30 днів. Хоча активних атак не виявлено, вектор неавторизованого підвищення привілеїв (CVE-2026-71362) є дуже серйозним, особливо з огляду на те, що Commerce вже був мішенню раніше.
3. Станом на дату публікації активних атак не зафіксовано для жодної з цих вразливостей, однак відсутність публічного експлойт-коду не гарантує безпеки .
4. Перевіряйте застосування патчів у тестовому середовищі перед розгортанням у продакшені, особливо для ColdFusion, де виправлення може вплинути на роботу власних застосунків.