根據 The Hacker News 的報導，Adobe 近期針對其企業級產品 ColdFusion、Commerce 以及 Campaign Classic 發布了多項緊急安全性更新。此次更新旨在修復多個極其嚴重的安全性漏洞，其中部分漏洞的 CVSS 分數高達 10.0 分，代表其威脅等級已達到最高級別。若這些漏洞被惡意利用，攻擊者可能在無需身分驗證的情況下，直接在目標伺服器上執行任意程式碼或提升權限，對企業資訊安全構成嚴重威脅。
漏洞背景與風險評估
本次受影響的產品涵蓋了 Adobe 的多個伺服器端解決方案。ColdFusion 是一個用於快速開發動態網站的應用伺服器平台，而 Campaign Classic 則是用於大規模行銷自動化的系統。由於這些產品通常部署在企業的核心基礎設施中，且直接處理大量客戶數據與業務邏輯，因此任何能導致遠端程式碼執行（Remote Code Execution, RCE）的漏洞都具有極高的危險性。
在資安領域中，CVSS（Common Vulnerability Scoring System，通用漏洞評分系統）是用於評估漏洞嚴重程度的標準。分數越高，代表漏洞越容易被利用且造成的損害越大。本次更新中出現的三個 10.0 分漏洞，意味著攻擊者可能不需要複雜的權限或特定的使用者互動，就能完全控制受影響的系統。
ColdFusion 的核心漏洞分析
在 ColdFusion 產品線中，最嚴重的漏洞為 CVE-2026-48362，這是一個作業系統指令注入（OS Command Injection）漏洞。指令注入是指應用程式在將使用者輸入傳遞給系統外殼（Shell）執行時，未經過濾就直接執行，導致攻擊者可以透過構造特殊的輸入，強迫伺服器執行任意的系統指令。
此外，CVE-2026-48273 則涉及 Eval 注入漏洞。Eval 是一種將字串當作程式碼執行的功能，若輸入端缺乏適當的驗證，攻擊者可以將惡意腳本注入其中，進而達成任意程式碼執行。除了這兩項 RCE 威脅，CVE-2026-71384 則是一個授權錯誤漏洞，可能導致應用程式發生阻斷服務（Denial-of-Service, DoS），使合法使用者無法正常訪問服務。針對 ColdFusion 的修復版本已更新至 2025.0.12 與 2023.0.23。
Campaign Classic 與 Commerce 的權限危機
Campaign Classic 此次面臨的挑戰同樣嚴峻，CVE-2026-71398 與 CVE-2026-27302 均被評為 10.0 分。這兩者皆屬於不正確的授權（Incorrect Authorization）漏洞，這意味著系統在驗證使用者權限時出現邏輯缺陷，讓未經授權的攻擊者能夠繞過安全檢查，直接執行高權限的指令。此外，該產品還存在 CVE-2026-48381 SQL 注入漏洞，攻擊者可透過操縱資料庫查詢指令來竊取資料或進一步控制伺服器。
而在 Commerce 產品中，CVE-2026-71362 則是一個授權錯誤漏洞，可能導致權限提升（Privilege Escalation），讓低權限帳號獲取管理員權限。Campaign Classic 的相關修復已包含在 ACC v7 7.4.4 build 9400 版本中。
實務影響與部署限制
Adobe 將此次 ColdFusion 與 Campaign Classic 的更新列為 Priority 1（第一優先級），強調這些漏洞具有極高的被攻擊風險。值得注意的是，Campaign Classic 的更新僅適用於完全在地端部署（On-premise）或混合部署中的在地端組件。對於使用 Adobe 託管（Hosted）服務的客戶，Adobe 已在後端完成修復，使用者無需採取任何行動。
從時間線來看，這次的大規模修復發生在 Adobe 修復另一個最高級別漏洞（CVE-2026-48449）不到兩週之內，顯示出該產品線近期面臨較密集的安全性挑戰。雖然目前尚無證據顯示這些漏洞在現實環境中被利用，但鑑於其影響範圍之廣且攻擊門檻低，Adobe 強烈建議所有管理員在 72 小時內完成更新。
對於企業而言，這次事件再次提醒了 Patch Management（補丁管理）的重要性。在複雜的企業環境中，更新伺服器軟體往往需要經過測試以確保不影響業務運行，但在面對 CVSS 10.0 級別的漏洞時，快速部署更新以降低暴露時間，是防止遭受大規模勒索軟體或資料外洩攻擊的最有效手段。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。