Уязвимость CVE-2026-48282 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — 10.0 Critical) затрагивает ColdFusion 2025 с обновлением 9 и более ранними версиями, а также ColdFusion 2023 с обновлением 20 и ниже. Проблема позволяет атаковать сервер без учетной записи, читать и записывать произвольные файлы, а затем выполнять вредоносный код.
Adobe выпустила исправления 30 июня в составе крупного обновления безопасности, закрыв сразу 11 уязвимостей, включая шесть проблем с максимальной оценкой 10 баллов. Уже через несколько часов после публикации подробностей специалисты KEVIntel зафиксировали реальные атаки на серверы с использованием этой уязвимости.
По данным Shadowserver, в интернете остаются доступными около 800 серверов Adobe ColdFusion. Для защиты Adobe рекомендует установить обновление 10 для ColdFusion 2025 или обновление 21 для ColdFusion 2023.