Adobe cảnh báo người dùng vá gấp loạt lỗ hổng nghiêm trọng trên ColdFusion và Commerce

Lỗi CVE-2026-48362, nghiêm trọng nhất trên ColdFusion, cho phép kẻ tấn công không cần xác thực thực thi các lệnh hệ điều hành tùy ý thông qua một yêu cầu được tạo sẵn . Điều này có thể dẫn đến máy chủ bị chiếm quyền hoàn toàn. Lỗi eval injection (CVE-2026-48273) và authorization không đúng (CVE-2026-71384) cũng mở đường cho tin tặc thực thi mã độc và leo thang đặc quyền .

Adobe Commerce (APSB26-92) — Priority 2 (Áp dụng trong vòng 30 ngày)

Adobe đã khắc phục 7 lỗ hổng trong Commerce và Magento Open Source .

• Phiên bản bị ảnh hưởng: Adobe Commerce 2.4.9-2026-jul trở về trước, cùng các dòng phát hành 2.4.8 đến 2.4.4; Magento Open Source cùng các phiên bản tương ứng; các module Commerce B2B .
• Tình trạng khai thác: Adobe cho biết chưa phát hiện khai thác thực tế nào, nhưng Commerce đã từng là mục tiêu trong các cuộc tấn công trước đây .
• Hướng dẫn vá lỗi: Áp dụng bản vá cô lập (Isolated patches) tháng 8/2026 từ cơ sở kiến thức của Adobe Commerce. Khách hàng dùng Commerce trên Cloud có thể triển khai qua Bản vá Magento Cloud. Các bản vá có tính tích lũy theo từng dòng phát hành — cần áp dụng bản vá tháng 7/2026 trước. Adobe khuyến cáo vá trong vòng 30 ngày (Priority 2) .

Lỗi Commerce CVE-2026-71362 đặc biệt nguy hiểm vì không yêu cầu xác thực và không cần tương tác người dùng, cho phép kẻ tấn công chưa xác thực leo thang đặc quyền qua mạng . Điều này có thể làm lộ dữ liệu khách hàng nhạy cảm và cho phép can thiệp trái phép vào hệ thống .

Tổng quan rộng hơn: Patch Tuesday tháng 8/2026 của Adobe

Adobe phát hành năm bản tin bảo mật vào ngày 11 tháng 8, khắc phục tổng cộng 51 CVE trên :

• Adobe ColdFusion (15 CVE)
• Adobe Commerce / Magento Open Source (7 CVE)
• Adobe Campaign Classic (nhiều lỗi nghiêm trọng, bao gồm hai lỗi CVSS 10.0)
• Adobe Lightroom Classic
• Content Credentials SDK

Trong số 51 lỗ hổng, 33 lỗi được đánh giá ở mức nghiêm trọng . Các lỗi có mức độ nghiêm trọng cao nhất trong toàn bộ đợt phát hành là lỗi chèn lệnh hệ điều hành trên ColdFusion (CVSS 10.0) và hai lỗi CVSS 10.0 của Campaign Classic .

Những điểm chính cho đội ngũ bảo mật

1. Người dùng ColdFusion cần vá lỗi ngay lập tức. Lỗi RCE CVSS 10.0 (CVE-2026-48362) có thể dẫn đến máy chủ bị chiếm quyền hoàn toàn. Xếp hạng Priority 1 của Adobe báo hiệu nguy cơ cao bị nhắm mục tiêu trong tương lai.
2. Người dùng Commerce nên vá trong vòng 30 ngày. Dù chưa phát hiện khai thác thực tế, nhưng vector leo thang đặc quyền không cần xác thực (CVE-2026-71362) là mối lo ngại nghiêm trọng, đặc biệt khi Commerce từng là mục tiêu trong quá khứ.
3. Chưa phát hiện khai thác trực tiếp nào đối với bất kỳ lỗ hổng nào trong số này tính đến ngày ra khuyến cáo, nhưng việc không có mã khai thác thử nghiệm (PoC) không đảm bảo an toàn .
4. Xác minh áp dụng bản vá trong môi trường thử nghiệm trước khi triển khai lên sản xuất, đặc biệt với ColdFusion khi bản vá có thể ảnh hưởng đến các ứng dụng tùy chỉnh.