Adobe закрыла четыре критические уязвимости в ColdFusion: обновление обязательно для всех, кто использует платформу

30 июня 2026 года компания Adobe Systems выпустила внеочередной пакет исправлений для своей программной платформы ColdFusion. В бюллетене безопасности APSB26-68 сообщается о закрытии сразу четырёх критических уязвимостей, каждая из которых получила максимальную оценку по шкале CVSS - 10 баллов из 10 возможных. Речь идёт о версиях ColdFusion 2023 и 2025, причём проблемы затрагивают все поддерживаемые редакции продукта вплоть до определённых номеров обновлений.

Детали уязвимостей

ColdFusion - это популярная платформа для разработки веб-приложений и корпоративных информационных систем. Её активно используют в государственных учреждениях, финансовом секторе, крупных промышленных предприятиях. Уязвимости, которые позволяют удалённо выполнить произвольный код без какой-либо аутентификации, создают прямую угрозу для сотен тысяч серверов по всему миру.

Все четыре уязвимости имеют разные технические причины, но единый вектор атаки и одинаково катастрофические последствия. Первые две проблемы (идентификаторы CVE-2026-48283 и CVE-2026-48276 в международной системе регистрации уязвимостей CVE) относятся к типу CWE-434. Это означает, что в ColdFusion отсутствовали ограничения на загрузку файлов опасных типов. Злоумышленник, действующий удалённо, мог отправить на сервер специально сформированный файл, который затем выполнялся системой как программный код. В Банке данных угроз безопасности информации (BDU) этим уязвимостям присвоены номера BDU:2026-09257 и BDU:2026-09258 соответственно.

Третья проблема (CVE-2026-48282, BDU:2026-09259) связана с ошибкой типа CWE-22 - неверным ограничением имени пути к каталогу. Простыми словами, механизм проверки путей к файлам был реализован некорректно. Атакующий мог, манипулируя относительными путями, выйти за пределы разрешённой директории и получить доступ к системным файлам или загрузить вредоносный код в служебные каталоги. Подобный приём называют "обходом пути".

Четвёртая уязвимость (CVE-2026-48307, BDU:2026-09262) классифицируется как CWE-79 - межсайтовая сценарная атака. В данном контексте это особенно опасно, потому что, в отличие от типичного XSS, затрагивающего только браузер пользователя, данная уязвимость позволяет выполнить произвольный код на стороне сервера. Инъекция вредоносного скрипта в структуру веб-страницы даёт злоумышленнику возможность действовать от имени привилегированного пользователя системы.

Все четыре уязвимости имеют общие характеристики. Они подтверждены производителем. Для эксплуатации не требуется предварительная аутентификация, не нужны специальные привилегии, а взаимодействие с пользователем не обязательно. Вектор атаки - удалённый. Согласно методологии CVSS 3.1, такие параметры означают, что злоумышленник может полностью скомпрометировать сервер, получив доступ ко всем данным и возможность выполнять любые команды.

Версии ColdFusion 2023 требуют установки обновления не ниже 21-го. Версии 2025 года необходимо обновить до десятого пакета исправлений включительно. Если ваша организация использует более ранние сборки, сервер остаётся уязвимым.

В отношении эксплуатации данных уязвимостей на момент публикации бюллетеня точной информации нет. Производитель пока не подтвердил наличие готового эксплойта в открытом доступе. Однако практика показывает, что для критических уязвимостей с максимальным рейтингом CVSS код атаки появляется в течение нескольких дней или даже часов после официального анонса. Следовательно, промедление с обновлением может привести к инциденту безопасности.

Каковы потенциальные последствия для организаций, которые не установят патч своевременно? Атакующий, получивший контроль над сервером ColdFusion, сможет похитить базы данных, изменить содержимое веб-приложений, внедрить программы-вымогатели или использовать скомпрометированную машину как точку входа во внутреннюю инфраструктуру предприятия. Учитывая, что ColdFusion часто разворачивают в демилитаризованной зоне и связывают с внутренними системами аутентификации, последствия могут быть каскадными.

Специалистам по информационной безопасности стоит также проверить журналы событий на предмет подозрительной активности за последние недели. Хотя официального подтверждения о случаях атак в дикой природе пока нет, не исключено, что некоторые злоумышленники могли обнаружить эти проблемы и использовать их до выхода исправлений.

Ситуация с ColdFusion лишний раз напоминает о важности своевременного обновления программного обеспечения, особенно когда речь идёт о платформах, работающих с внешними запросами. Четыре критические уязвимости, обнаруженные в один день, свидетельствуют о необходимости комплексного подхода к безопасности жизненного цикла разработки. Adobe, в свою очередь, оперативно отреагировала на проблему и предоставила исправления для всех поддерживаемых версий продукта.

В завершение стоит отметить, что данная публикация - не повод для паники, а руководство к действию. Если вы используете ColdFusion 2023 или 2025, проверьте номер установленного обновления. Если он ниже указанного в бюллетене, немедленно запланируйте обновление сервера. В мире кибербезопасности промедление в несколько дней может стоить компании миллионов рублей ущерба и репутационных потерь.

Детали уязвимостей

Ссылки