ColdFusion passa da disclosure a compromissione immediata
Un ColdFusion esposto non è più solo un ticket di patch: il punto rotto è il tempo di reazione, perché una falla di path traversal può diventare foothold sul server in poche ore. La lettura standard si ferma alla vulnerabilità web; qui il problema è che l’istanza internet-facing può trasformarsi subito in accesso al host, con esecuzione di codice nel contesto dell’utente corrente.
Più fonti confermano lo sfruttamento in the wild di CVE-2026-48282 entro poche ore dalla disclosure. Adobe ha rilasciato ColdFusion 2025 update 10 e ColdFusion 2023 update 21; la falla può consentire lettura arbitraria di file, bypass di controlli di sicurezza ed esecuzione di codice su sistemi esposti.
La finestra tra divulgazione e weaponization si è quindi compressa a tal punto che validare prima di patchare non è più una premessa sicura. Per chi gestisce ColdFusion su internet, il server va trattato come possibile punto d’ingresso già nel momento in cui la notizia esce.