In ColdFusion schließt Adobe 15 Schwachstellen. Drei davon stuft der Hersteller als kritisch ein. Dazu gehören eine Betriebssystem-Befehlsinjektion unter CVE-2026-48362 mit einem CVSS-Wert von 10,0, eine Eval-Injektion unter CVE-2026-48273 mit 9,9 Punkten sowie eine fehlerhafte Autorisierung unter CVE-2026-71384 mit 9,6 Punkten. Laut Adobe können diese Lücken zu beliebiger Codeausführung und zu einem Denial-of-Service von Anwendungen führen.
Auch das Update für Campaign Classic trägt die Priorität 1. Es behebt drei kritische Schwachstellen, die beliebige Codeausführung ermöglichen. Dabei handelt es sich um zwei Fehler bei der Autorisierung, CVE-2026-71398 und CVE-2026-27302, beide mit einem CVSS-Wert von 10,0, sowie um eine SQL-Injection unter CVE-2026-48381 mit 9,0 Punkten.
Adobe verweist bei beiden Produkten auf sein Prioritätssystem: Die betroffenen Schwachstellen hätten ein höheres Risiko, in freier Wildbahn angegriffen zu werden. Entsprechend sollen Anwender die Patches für ColdFusion und Campaign Classic sofort einspielen.
Für Adobe Commerce hat das Unternehmen sieben Schwachstellen behoben. Dazu zählt CVE-2026-71362 mit einem CVSS-Wert von 9,1, ein Autorisierungsfehler, der eine Rechteausweitung ermöglichen kann. Außerdem hat Adobe Schwachstellen mit hoher Einstufung für Codeausführung und zum Umgehen von Sicherheitsfunktionen beseitigt.
Das Commerce-Update ist mit Priorität 2 versehen. Adobe begründet das damit, dass das Produkt bereits früher Ziel von Angriffen gewesen sei. Nutzer sollen dieses Update innerhalb der nächsten 30 Tage installieren.
Am Dienstag veröffentlichte Adobe außerdem Patches für 11 Schwachstellen mit hoher Einstufung in Lightroom sowie für 15 Schwachstellen mit hoher und mittlerer Einstufung in Content Credentials. Beide Updates tragen die Priorität 3.
Nach Angaben von Adobe liegen dem Unternehmen keine Erkenntnisse über Angriffe in freier Wildbahn auf die nun geschlossenen Schwachstellen vor. Weitere Informationen stellt Adobe auf seiner Seite zu Sicherheitsupdates bereit.