Adobe 八月 2026 安全性更新：ColdFusion 與 Commerce 出現 CVSS 10.0 等級重大漏洞

CVE-2026-48362 是這次 ColdFusion 最嚴重的漏洞，攻擊者不需通過身分驗證，只需透過精心設計的請求，就能在伺服器上執行任意作業系統指令，導致伺服器完全淪陷 。而 CVE-2026-48273（Eval 注入）與 CVE-2026-71384（授權繞過）同樣會讓攻擊者有機會執行任意程式碼或提升權限 。

Adobe Commerce（APSB26-92）— 優先級 2：請在 30 天內更新

Adobe 在 Commerce 與 Magento Open Source 中修補了 7 個漏洞 。

• 受影響版本： Adobe Commerce 2.4.9-2026-jul 及更早版本，以及 2.4.8 到 2.4.4 的各個發行版本；Magento Open Source 相同版本；Commerce B2B 模組也受影響 。
• 利用狀況： Adobe 確認尚未發現這批漏洞遭到實際利用，但 Commerce 產品過去確實曾是不法分子鎖定攻擊的目標 。
• 修補建議： 請從 Adobe Commerce 知識庫套用 2026 年 8 月的 獨立修補程式（Isolated patches）。使用 Commerce 雲端服務的客戶也可透過 Magento Cloud Patches 進行部署。修補程式會依版本線累積，因此必須先安裝 2026 年 7 月的修補程式。Adobe 建議在 30 天內完成更新（Priority 2）。

Commerce 的 CVE-2026-71362 漏洞之所以特別危險，在於它不需要任何身分驗證，也不需要使用者進行任何操作，攻擊者就能透過網路直接觸發權限提升 。這可能導致敏感的客戶資料外洩，或讓攻擊者取得未經授權的系統修改權限 。

更全面的脈絡：Adobe 八月 Patch Tuesday 整體概況

Adobe 在 8 月 11 日總共發布了 5 份安全公告，涵蓋 51 個 CVE ：

• Adobe ColdFusion（15 個 CVE）
• Adobe Commerce / Magento Open Source（7 個 CVE）
• Adobe Campaign Classic（多個重大漏洞，包含兩個 CVSS 10.0）
• Adobe Lightroom Classic
• Content Credentials SDK

在這 51 個漏洞中，有多達 33 個被評為重大（Critical） 。而這次所有更新中，嚴重性最高的除了 ColdFusion 的 OS 命令注入（CVSS 10.0）之外，還有 Campaign Classic 的兩個 CVSS 10.0 漏洞 。

給資安團隊的重點行動建議

1. ColdFusion 使用者請立即進行修補。 這個 CVSS 10.0 的 RCE 漏洞（CVE-2026-48362）會讓伺服器完全暴露在風險中。Adobe 給予 Priority 1 的評級，代表未來被鎖定攻擊的風險極高。
2. Commerce 使用者請在 30 天內完成修補。 雖然目前尚未發現實際攻擊，但 CVE-2026-71362 這個無需驗證即可提升權限的漏洞，加上 Commerce 產品過去的受害紀錄，仍不可掉以輕心。
3. 目前沒有任何一項漏洞已被實際利用，但官方也警告，沒有公開的概念驗證（PoC）程式碼並不代表環境就是安全的 。
4. 建議先在測試環境驗證修補程式的相容性，再部署到正式環境。尤其是 ColdFusion 的更新，可能對舊有的客製化應用程式造成影響。