Adobe rilascia correzioni per vulnerabilità critiche in ColdFusion e Campaign Classic

Adobe ha rilasciato aggiornamenti di sicurezza per una serie di vulnerabilità ad alto rischio in ColdFusion e Campaign Classic, tra cui diversi problemi con un punteggio CVSS di 10,0 che potrebbero consentire l'esecuzione di codice da remoto sui sistemi vulnerabili.

Gli aggiornamenti di ColdFusion risolvono diverse vulnerabilità gravi

Le patch per ColdFusion correggono problemi che, secondo Adobe, potrebbero consentire l'esecuzione arbitraria di codice, l'escalation dei privilegi, l'elusione delle funzionalità di sicurezza e l'accesso non autorizzato al file system. L'azienda ha risolto le vulnerabilità in ColdFusion 2023 Update 21 e ColdFusion 2025 Update 10.

• CVE-2026-48276 e CVE-2026-48283: problemi pericolosi relativi al caricamento di file
• CVE-2026-48277, CVE-2026-48281 e CVE-2026-48316: vulnerabilità di convalida degli input legate all'esecuzione di codice
• CVE-2026-48282: vulnerabilità di attraversamento dei percorsi che potrebbe consentire l'esecuzione di codice
• CVE-2026-48313: problema di attraversamento dei percorsi che potrebbe esporre i file
• CVE-2026-48315: vulnerabilità nella convalida degli input che potrebbe consentire un'escalation dei privilegi

Adobe ha attribuito il merito a ricercatori esterni, tra cui Anirudh Anand, Matan Sandori e 2Bsecure, per la segnalazione di alcune delle vulnerabilità.

Anche Campaign Classic riceve una correzione urgente

In un avviso separato, Adobe ha corretto una vulnerabilità critica di autorizzazione in Adobe Campaign Classic, identificata come CVE-2026-48286. Il problema interessa ACC v7 7.4.3 build 9396 e versioni precedenti su Windows e Linux e potrebbe consentire l'esecuzione arbitraria di codice. Adobe ha dichiarato che la correzione è inclusa in ACC v7 7.4.3 build 9397.

L'azienda ha affermato che la vulnerabilità di Campaign Classic interessa solo le implementazioni on-premise, inclusi gli ambienti ibridi con componenti on-premise. I clienti ospitati da Adobe non devono intraprendere alcuna azione, poiché tali sistemi sono già stati aggiornati.

Segnalato lo sfruttamento attivo di una vulnerabilità di ColdFusion

Adobe ha dichiarato di non aver rilevato sfruttamenti pubblici delle vulnerabilità al momento della divulgazione. Tuttavia, segnalazioni successive hanno indicato che la CVE-2026-48282 è stata presa di mira entro poche ore dal rilascio della patch, con un tentativo di attacco osservato da un indirizzo IP geolocalizzato in India.

Gli analisti della sicurezza hanno inoltre osservato che la funzionalità vulnerabile di caricamento di ColdFusion è disabilitata per impostazione predefinita, ma i sistemi in cui è abilitata potrebbero essere comunque esposti senza autenticazione.

Adobe modifica la cadenza degli aggiornamenti

Le divulgazioni arrivano mentre Adobe si prepara a passare da bollettini di sicurezza mensili a bollettini due volte al mese, a partire dal 14 luglio 2026. L'azienda afferma che la scoperta più rapida delle vulnerabilità mediante strumenti di intelligenza artificiale sta riducendo il tempo a disposizione degli aggressori per agire una volta che le vulnerabilità diventano pubbliche.

Aanchal Gupta, responsabile della sicurezza di Adobe, ha dichiarato che l'azienda sta utilizzando lo stesso approccio basato sull'intelligenza artificiale per identificare e correggere le vulnerabilità più rapidamente, prima che gli aggressori possano sfruttarle.