Хакер #326. Router from Hell
Подписка на «Хакер» -50%
Злоумышленники начали эксплуатировать свежую уязвимость в Adobe ColdFusion (CVE-2026-48282) спустя около двух часов после публикации информации о ней. Разработчики исправили эту проблему на прошлой неделе и настоятельно рекомендовали администраторам установить обновления как можно скорее.
Уязвимость CVE-2026-48282 получила максимальные 10 баллов из 10 возможных по шкале CVSS и затрагивает ColdFusion 2025.9, 2023.20 и более ранние версии. Проблема относится к типу path traversal и позволяет неаутентифицированному атакующему записывать произвольные файлы, что в итоге может привести к удаленному выполнению кода.
Основатель KEVIntel Райан Дьюхерст (Ryan Dewhurst) пишет , что эксплуатацию свежего бага зафиксировала глобальная сеть ханипотов компании. Причем первые попытки атак были замечены менее чем через два часа после раскрытия подробностей CVE-2026-48282. К примеру, один запрос пришел с IP-адреса 103.207.14[.]220, и атакующий попытался получить доступ к файлу C:\Windows\win.ini.
Канадский центр кибербезопасности (Canadian Centre for Cyber Security, CCCS) также предупредил , что уязвимость уже используется в атаках, и призвал администраторов немедленно установить патчи.
По данным Shadowserver , в настоящее время в интернете доступны почти 800 инстансов Adobe ColdFusion.
Нужно отметить, что на прошлой неделе в ColdFusion были исправлены сразу восемь уязвимостей, шесть из которых получили максимальные 10 баллов по шкале CVSS: CVE-2026-48276, CVE-2026-48277, CVE-2026-48281, CVE-2026-48282, CVE-2026-48283 и CVE-2026-48316. Эти уязвимости позволяют загружать файлы, обходить каталоги и выполнять произвольный код. Еще две проблемы, CVE-2026-48313 и CVE-2026-48315, набрали по 9,3 балла по шкале CVSS и приводят к чтению произвольных файлов и повышению привилегий.
Как писали исследователи из компании watchTowr, попутно эти обновления устранили ряд других недокументированных проблем, связанных с перемещением и удалением файлов, созданием каталогов и просмотром их содержимого.
Все уязвимости были исправлены в ColdFusion 2023 Update 21 и ColdFusion 2025 Update 10.
Кроме того, одновременно с выпуском патчей для ColdFusion, разработчики устранили проблему CVE-2026-48286 в Adobe Campaign Classic, которая тоже получила оценку 10,0 балла по шкале CVSS. Этот баг был связан с ошибкой авторизации и позволял выполнить произвольный код, затрагивая локальные установки ACC 7.4.3 build 9396 и более ранних версий.
Исправление для CVE-2026-48286 вошло в состав build 9397, а также специалисты Adobe обновили облачные инстансы.