Vulnerabilità ed exploit · Attacco ad app web

ColdFusion passa da disclosure a compromissione immediata

Un ColdFusion esposto non è più solo un ticket di patch: il punto rotto è il tempo di reazione, perché una falla di path traversal può diventare foothold sul server in poche ore. La lettura standard si ferma alla vulnerabilità web; qui il problema è che l’istanza internet-facing può trasformarsi subito in accesso al host, con esecuzione di codice nel contesto dell’utente corrente.

Più fonti confermano lo sfruttamento in the wild di CVE-2026-48282 entro poche ore dalla disclosure. Adobe ha rilasciato ColdFusion 2025 update 10 e ColdFusion 2023 update 21; la falla può consentire lettura arbitraria di file, bypass di controlli di sicurezza ed esecuzione di codice su sistemi esposti.

La finestra tra divulgazione e weaponization si è quindi compressa a tal punto che validare prima di patchare non è più una premessa sicura. Per chi gestisce ColdFusion su internet, il server va trattato come possibile punto d’ingresso già nel momento in cui la notizia esce.

5 fonti · 7 lug

CVE-2026-48282

NVD KEV

Sfruttamento noto · CISA KEV

CVSS 10 CRITICAL: coldFusion versions 2025.9, 2023.20 and earlier are affected by an Improper Limitation of a Pathname to a Restricted…

Data di correzione federale CISA 10 lug

Cronologia

Fonti

Part of the PlainSec briefing for 2026-07-06

Every edition of this story: ColdFusion passa da disclosure a compromissione immediata

Altro da oggi