Per Adobe il segnale vero è il Priority 1: ColdFusion e Campaign Classic hanno più falle critiche, tra cui vari percorsi di RCE, e questo basta a trattarle come bersagli appetibili anche senza sfruttamento confermato. Il quadro non è quello di un bug isolato, ma di aggiornamenti urgenti su prodotti che espongono la logica applicativa lato server.
Adobe ha corretto sette CVE in ColdFusion, con tre criticità che possono portare a arbitrary code execution o DoS, e tre vulnerabilità critiche in Campaign Classic che possono portare a arbitrary code execution. Tra queste figurano CVE-2026-48362, CVE-2026-48273, CVE-2026-71384, CVE-2026-71398, CVE-2026-27302 e CVE-2026-48381; Adobe dice di non conoscere exploit in the wild.
Per chi gestisce istanze esposte su Internet, la lettura corretta è che la priorità nasce dal profilo di targeting che Adobe assegna a questi fix, non da un segnale di campagna già osservata. Su questa classe di prodotti, il salto non è da errore locale a semplice malfunzionamento, ma da applicazione a possibile esecuzione di codice sul server.