Il 30 giugno Adobe ha pubblicato un aggiornamento di sicurezza per ColdFusion che corregge 11 vulnerabilità, sette delle quali con il punteggio massimo, 10. Una di queste, la CVE-2026-48282, è già sotto attacco. I primi tentativi sono arrivati il 2 luglio, circa due ore dopo la pubblicazione di un’analisi tecnica delle falle. Adobe conferma attacchi limitati, e le autorità statunitensi hanno dato agli enti federali tre giorni per correggere.
Due ore. Il tempo di leggere l’analisi, adattare il codice e lanciare le prime richieste. Fino a pochi anni fa, tra la pubblicazione di dettagli tecnici e gli attacchi passavano settimane.
Un servizio per sviluppatori lasciato acceso
La falla è un path traversal nei Remote Development Services, il servizio RDS che permette agli strumenti di sviluppo di lavorare con i file del server. Con richieste costruite ad arte, un attaccante senza credenziali e senza alcuna interazione degli utenti esce dalle cartelle consentite, scrive file e arriva all’esecuzione di codice sul server. ColdFusion 2025 è vulnerabile fino all’Update 9 e va portato all’Update 10; ColdFusion 2023 è vulnerabile fino all’Update 20 e va portato all’Update 21.
RDS serve durante lo sviluppo. Su un server di produzione non dovrebbe essere attivo, eppure lo è più spesso di quanto si pensi, perché nessuno lo ha mai spento dopo il primo rilascio.
ColdFusion sopravvive in molti siti e gestionali storici di aziende e pubbliche amministrazioni, installati anni fa e aggiornati di rado. Sono proprio i sistemi in cui una patch arriva tardi. E qui entrare è solo l’inizio: una volta scritto un file sul server, l’attaccante può lasciare una web shell e tornare quando vuole, anche dopo l’aggiornamento. Quanti server siano già stati raggiunti in questi giorni, Adobe non lo ha detto.
Installa subito l’Update 10 di ColdFusion 2025 o l’Update 21 di ColdFusion 2023. Spegni RDS sui server di produzione e limita l’accesso dall’esterno alla cartella /CFIDE e alle interfacce di amministrazione.
Poi cerca file .cfm, .cfc o .cfml creati o modificati dopo il 1° luglio che non riconosci, e controlla nei log del server web le richieste anomale verso i componenti RDS.
Se usi versioni più vecchie e non supportate, non riceverai nemmeno questa correzione. La migrazione, a questo punto, è una misura di sicurezza.
