CISA aggiunge le vulnerabilità sfruttate di ColdFusion, Langflow e Joomla all’elenco KEV

L’agenzia statunitense per la sicurezza informatica e delle infrastrutture (CISA) ha avvertito le organizzazioni dello sfruttamento attivo di vulnerabilità critiche in Adobe ColdFusion, Langflow e due estensioni Joomla, sollecitando l’applicazione rapida delle patch e interventi di remediation.

Vulnerabilità di ColdFusion e Langflow sotto attacco

Tra i problemi recentemente evidenziati figura CVE-2026-48282, una vulnerabilità di Adobe ColdFusion con il massimo livello di gravità, legata al path traversal e potenzialmente in grado di consentire agli aggressori di eseguire codice arbitrario. Adobe ha rilasciato le correzioni il 30 giugno e, poco dopo, CISA ha aggiunto la vulnerabilità al proprio catalogo delle Known Exploited Vulnerabilities (KEV), dopo che sono emerse prove del suo utilizzo da parte degli aggressori in intrusioni reali.

CISA ha inoltre segnalato CVE-2026-55255 in Langflow, una piattaforma per applicazioni low-code. La vulnerabilità consiste in un problema di riferimento diretto a oggetti non sicuro tra tenant, che può consentire a un utente di accedere ai flussi di un altro utente o attivarli fornendo un UUID del flusso. Langflow ha risolto il problema nella versione 1.9.1. In precedenza, i ricercatori di sicurezza avevano riferito che gli aggressori stavano già sfruttando il bug e, in alcuni casi, lo concatenavano a una vulnerabilità più vecchia di esecuzione di codice da remoto per ottenere un accesso più esteso.

Sfruttate anche le vulnerabilità delle estensioni Joomla

L’agenzia ha inoltre avvertito di due vulnerabilità relative a Joomla che interessano estensioni diffuse. Una è CVE-2026-48908 in SP Page Builder di JoomShaper, un problema di controllo degli accessi che può consentire l’esecuzione di codice da remoto senza autenticazione tramite la funzionalità di caricamento delle icone personalizzate. Il problema è stato risolto in SP Page Builder 6.6.2.

La seconda è CVE-2026-56290 in Page Builder CK di Joomlack, una vulnerabilità che consente il caricamento arbitrario di file senza autenticazione e che può anch’essa portare all’esecuzione di codice da remoto sul server. Il problema è stato risolto in Page Builder CK 3.6.0, rilasciato il 27 giugno. Secondo le segnalazioni, gli aggressori si sono mossi rapidamente per sfruttare la vulnerabilità e distribuire web shell.

Scadenze per l’applicazione delle patch alle agenzie federali

In base alle indicazioni di CISA e alla Binding Operational Directive 26-04, le agenzie civili federali statunitensi devono risolvere tutte e quattro le vulnerabilità entro il 10 luglio. CISA ha dichiarato che anche le altre organizzazioni dovrebbero consultare regolarmente il catalogo KEV e dare priorità alle vulnerabilità presenti nell’elenco che interessano i propri sistemi, soprattutto quando lo sfruttamento è già in corso.

L’avvertimento arriva nel contesto di una serie di recenti avvisi su vulnerabilità software sfruttate attivamente e rafforza la necessità per le organizzazioni di applicare rapidamente gli aggiornamenti e verificare che le applicazioni web esposte siano protette.