La CISA ordina alle agenzie federali di correggere entro venerdì una vulnerabilità critica di ColdFusion

La Cybersecurity and Infrastructure Security Agency degli Stati Uniti ha ordinato alle agenzie civili federali di correggere entro venerdì una vulnerabilità Adobe ColdFusion di gravità massima, dopo che la falla è stata aggiunta al suo catalogo delle vulnerabilità note sfruttate.

Tracciata come CVE-2026-48282, la vulnerabilità interessa Adobe ColdFusion 2025.9, 2023.20 e le versioni precedenti. Secondo Adobe, il bug può essere sfruttato da remoto senza autenticazione e con una bassa complessità dell'attacco, consentendo a un aggressore di eseguire codice sui sistemi vulnerabili.

Adobe ha rilasciato le correzioni per il problema circa una settimana fa e ha invitato gli amministratori a installarle il prima possibile. L'azienda ha descritto l'aggiornamento come una soluzione a problemi che erano già oggetto di attacchi nel mondo reale o che si riteneva avrebbero probabilmente iniziato a esserlo presto.

Ricercatori e organizzazioni governative di cybersicurezza hanno segnalato indizi di sfruttamento attivo poco dopo la divulgazione. Ryan Dewhurst, fondatore di KEVIntel, ha dichiarato che gli aggressori sembravano aver iniziato a sfruttare la vulnerabilità entro poche ore dall'annuncio di Adobe. Anche il Canadian Centre for Cyber Security ha consigliato ai responsabili della difesa di mettere rapidamente in sicurezza i sistemi interessati alla luce degli attacchi in corso.

Shadowserver, che monitora i sistemi esposti su Internet, afferma di rilevare attualmente quasi 800 istanze di ColdFusion raggiungibili online. Non è chiaro quante di queste siano ancora vulnerabili, protette da misure di mitigazione o gestite come sistemi esca.

Scadenza federale per l'applicazione delle patch

L'ordine della CISA si applica alle agenzie del Federal Civilian Executive Branch in base alla Binding Operational Directive 26-04. La direttiva impone alle agenzie di dare priorità all'applicazione delle patch in base a fattori quali lo sfruttamento attivo di una vulnerabilità, la possibilità di automatizzare gli attacchi, l'esposizione a Internet del sistema vulnerabile e la possibilità che uno sfruttamento riuscito consenta a un aggressore di assumere il controllo dell'obiettivo.

Adobe ha inoltre corretto altre sei vulnerabilità critiche in ColdFusion e Campaign Classic nello stesso ciclo di aggiornamenti. L'azienda non ha dichiarato che questi problemi siano sfruttati nel mondo reale.

ColdFusion continua a essere un obiettivo frequente degli aggressori. Dal 2021, la CISA ha aggiunto al proprio elenco delle vulnerabilità sfruttate decine di vulnerabilità relative ad Adobe, tra cui diverse successivamente collegate ad attività di ransomware.