La vulnerabilità di Adobe ColdFusion corretta a giugno è ora sfruttata attivamente

Gli aggressori stanno sfruttando attivamente una vulnerabilità critica di Adobe ColdFusion corretta alla fine di giugno, secondo i ricercatori di sicurezza e gli avvisi del governo canadese. Il problema, tracciato come CVE-2026-48282, ha ottenuto un punteggio CVSS di 10,0 ed è descritto come una vulnerabilità di attraversamento dei percorsi che potrebbe essere sfruttata per eseguire codice arbitrario.

La patch rilasciata insieme ad altre vulnerabilità critiche

Adobe ha corretto la CVE-2026-48282 il 30 giugno con ColdFusion 2025 Update 10 e ColdFusion 2023 Update 21. La correzione faceva parte di un aggiornamento di sicurezza più ampio che ha risolto anche altre cinque vulnerabilità critiche nella piattaforma dell’azienda per lo sviluppo rapido di applicazioni. All’epoca, Adobe aveva dichiarato di non essere a conoscenza di sfruttamenti attivi, ma aveva comunque classificato l’aggiornamento come di priorità 1 e invitato i clienti ad applicarlo rapidamente.

Quell’urgenza sembra essere stata giustificata. Secondo KEVIntel, lo sfruttamento della CVE-2026-48282 è iniziato entro due ore dalla divulgazione pubblica della vulnerabilità. Il fondatore di KEVIntel, Ryan Dewhurst, ha dichiarato che l’organizzazione ha osservato attività d’attacco reali attraverso la propria rete globale di honeypot. In seguito, il Canadian Centre for Cyber Security ha emesso un proprio avviso, citando informazioni open source secondo cui la vulnerabilità veniva utilizzata negli attacchi.

Una finestra di risposta più breve per i difensori

Al momento delle ultime segnalazioni, Adobe non aveva ancora aggiornato il proprio avviso per riflettere lo sfruttamento confermato. SecurityWeek ha contattato l’azienda per un commento.

I responsabili della sicurezza affermano che la rapidità dello sfruttamento evidenzia quanto poco tempo abbiano oggi le organizzazioni per testare e implementare le patch prima che intervengano gli aggressori. Piyush Sharma, cofondatore e CEO di Tuskira, ha osservato che molti team devono prima stabilire se i sistemi esposti sono raggiungibili, quindi valutare se la vulnerabilità crea un percorso d’attacco concreto e infine decidere se siano necessari controlli temporanei mentre è in corso la correzione.

• CVE-2026-48282: vulnerabilità critica di attraversamento dei percorsi in Adobe ColdFusion
• Punteggio CVSS: 10,0
• Corretta: 30 giugno 2026
• Sfruttamento segnalato: entro poche ore dalla divulgazione pubblica
• Autorità che ha emesso l’avviso: Canadian Centre for Cyber Security

Queste segnalazioni accrescono la preoccupazione per il fatto che le vulnerabilità ad alta gravità vengano trasformate in armi quasi immediatamente dopo la divulgazione, lasciando ai team di sicurezza finestre sempre più ristrette per rispondere.