Adobe закрыла 32 уязвимости в ColdFusion, платформе для серверных веб-приложений. На ней держатся внутренние порталы, личные кабинеты и интеграционные сервисы, поэтому взлом одного узла быстро отражается на нескольких рабочих процессах. Десять проблем отнесены к критическому уровню опасности. Две получили максимальный балл 10,0 по шкале CVSS (общая система оценки уязвимостей). Ошибки затрагивают ветки ColdFusion 2025 и 2023. Исправления появились 13 октября 2026 года в бюллетене APSB26-144. Следов эксплуатации в реальных атаках Adobe не нашла.
Загрузка файлов, подделка запросов и чтение памяти
Набор дефектов неоднороден. Часть уязвимостей позволяет загрузить на сервер файл опасного типа. Другие открывают доступ к внутренним ресурсам через подделку запросов на стороне сервера (SSRF, при которой сервер по указанию атакующего обращается к чужим адресам). Есть ошибки проверки прав, отказы в обслуживании и раскрытие содержимого памяти. Общего сценария для всех проблем нет, потому и защита сводится к своевременной установке исправлений.
Запуск кода и запись файлов
Наибольшую ценность для атакующего представляют уязвимости, дающие запуск произвольного кода. CVE-2026-105899 с рейтингом 10,0 допускает загрузку файла опасного типа без ограничений. CVE-2026-106622 с тем же баллом построена на подделке запросов и ведёт к повышению привилегий. Обе не требуют учётной записи на сервере, поэтому достаточно сетевого доступа к приложению. Ещё семь критических уязвимостей с рейтингом от 9,0 до 9,9 связаны с внедрением кода, выходом за пределы разрешённого каталога и записью файлов в обход ограничений. Здесь атакующему чаще нужны права пользователя, но отдельные сценарии срабатывают и без входа в систему.
Отдельная группа - ошибки проверки прав с рейтингом 8,8. Они разбросаны по разным частям платформы: административной консоли, обработке запросов, работе с файлами. Поодиночке такие уязвимости требуют локального доступа и действующей учётной записи. В связке они расширяют возможности злоумышленника после первой удачной попытки, упрощая закрепление на сервере.
Подделка запросов, чтение памяти и отказы в обслуживании
Самая массовая категория - SSRF, таких уязвимостей в бюллетене семь. Их рейтинг колеблется от 5,0 до 8,6. Через них можно получить содержимое внутренних служб, а в ряде случаев поднять свои права. Опасность усиливает типичная схема размещения: ColdFusion часто ставят в закрытом контуре рядом с базами данных и служебными сервисами. Запрос уходит с самого сервера приложений, то есть из доверенной зоны, и внешние сетевые фильтры его не останавливают.
Чтение файлов с диска открывает уязвимость в обработке внешних XML-сущностей (XXE, подстановка внешних ссылок в XML-документ) с рейтингом 8,6. Она даёт доступ к файлам, которые сервер может прочитать. Три уязвимости с рейтингом 7,5 ведут к отказу в обслуживании и раскрытию памяти. Одна из них вызвана неконтролируемым расходом ресурсов: поток запросов заставляет приложение расходовать память и процессор до остановки. Рядом стоят обход механизма защиты и несколько SSRF с рейтингом от 7,1 до 7,7. Замыкает список средняя по опасности проблема на 5,0 - тоже подделка запросов, но с утечкой ограниченного объёма сведений.
Обновления и настройки
Закрытые версии - ColdFusion 2025.0.14 и 2023.0.26. Обновлению присвоен приоритет 2, то есть установить его нужно в плановом порядке, без долгих пауз. Простой перезапуск службы сам по себе ничего не исправит: пакет надо скачать и применить.
Настройки тоже влияют на риск. Администраторам адресованы несколько конкретных шагов: обновить среду Java (JDK/JRE) до последнего релиза с длительной поддержкой; взять свежий коннектор для подключения к MySQL; проверить фильтр десериализации, который отсекает опасные объекты при обмене данными; применить настройки безопасности и руководства Lockdown для веток 2025 и 2023. Каждый из этих пунктов закрывает отдельный класс атак, а не только те, что попали в текущий бюллетень.
Практическая картина выглядит так. ColdFusion регулярно попадает в поле внимания исследователей: платформа доступна из интернета, обрабатывает формы и файлы, хранит доступ к базам данных. Обновления для неё выходят часто, а боевые установки обновляют неохотно. Пауза в несколько недель превращает уже описанные ошибки в готовый инструмент, ведь детали исправленных уязвимостей со временем становятся публичными.
Ссылки
