Un ColdFusion esposto non è più solo un ticket di patch: il punto rotto è il tempo di reazione, perché una falla di path traversal può diventare foothold sul server in poche ore. La lettura standard si ferma alla vulnerabilità web; qui il problema è che l’istanza internet-facing può trasformarsi subito in accesso al host, con esecuzione di codice nel contesto dell’utente corrente. Più fonti confermano lo sfruttamento in the wild di CVE-2026-48282 entro poche ore dalla disclosure. Adobe ha rilasciato ColdFusion 2025 update 10 e ColdFusion 2023 update 21; la falla può consentire lettura arbitraria di file, bypass di controlli di sicurezza ed esecuzione di codice su sistemi esposti. La finestra tra divulgazione e weaponization si è quindi compressa a tal punto che validare prima di patchare non è più una premessa sicura. Per chi gestisce ColdFusion su internet, il server va trattato come possibile punto d’ingresso già nel momento in cui la notizia esce.
Part of the PlainSec briefing for 2026-07-12