CVE-2026-48282: vulnerabilità critica in Adobe ColdFusion sfruttata attivamente

CVE-2026-48282: vulnerabilità critica in Adobe ColdFusion sfruttata attivamente

In breve

È stata confermata una vulnerabilità critica in Adobe ColdFusion (CVE-2026-48282), con il punteggio massimo di gravità, CVSS 10.0 su 10 [1]. Riguarda le versioni 2025.9, 2023.20 e precedenti [1], ed è inclusa nel catalogo delle vulnerabilità sfruttate attivamente dell'agenzia statunitense CISA (KEV) [2], il che significa che ne è già stato rilevato l'utilizzo reale da parte di attaccanti. Se la tua azienda gestisce server con Adobe ColdFusion, la priorità oggi è identificare questi sistemi, verificare la versione installata e applicare la patch del produttore il prima possibile.

Cos'è e perché è importante

CVE-2026-48282 è una falla di tipo path traversal (limitazione impropria dei percorsi di accesso a directory riservate) in Adobe ColdFusion [1]. In termini semplici, un attaccante può manipolare i percorsi dei file elaborati dall'applicazione per uscire dalla cartella in cui dovrebbe essere confinato e accedere o interagire con parti del sistema che non gli competono. Secondo la descrizione ufficiale, questa debolezza può portare all'esecuzione di codice arbitrario nel contesto dell'utente che esegue il servizio, e non richiede alcuna interazione da parte della vittima per essere sfruttata [1].

La combinazione di tre fattori spiega perché questa allerta merita attenzione prioritaria: il punteggio di gravità è il massimo possibile (CVSS 10.0) [1], non è necessario che qualcuno clicchi su nulla né commetta un errore perché l'attacco funzioni [1], ed è già accertato uno sfruttamento attivo secondo il catalogo CISA KEV [2]. Quando questi tre elementi coincidono, il margine per reagire «con calma» si riduce considerevolmente.

Chi è interessato

Riguarda specificamente le organizzazioni che hanno implementato Adobe ColdFusion nelle versioni 2025.9, 2023.20 o precedenti [1]. ColdFusion viene comunemente utilizzato come piattaforma di sviluppo ed esecuzione di applicazioni web aziendali, portali interni, intranet e servizi rivolti ai clienti, per cui il rischio non si limita al reparto IT: un server compromesso può esporre dati dei clienti, credenziali interne o fungere da porta d'ingresso verso il resto della rete aziendale. Se non sapete con certezza se qualche sistema dell'azienda (proprio o di un fornitore) funziona su ColdFusion, questo è un buon momento per verificarlo.

Come sapere se sei vulnerabile

Il primo passo è un inventario di base: confermare se esiste un server con Adobe ColdFusion attivo, in quale versione specifica si trova e se è accessibile da internet o solo dalla rete interna. Spesso questi server funzionano da anni «perché sono sempre stati lì» e nessuno li ha mappati come asset critico, il che è esattamente il tipo di superficie esposta che conviene rivedere in modo sistematico e non solo quando scatta un'allerta. Il nostro radar di intelligence in OCIRIA monitora questo tipo di vulnerabilità incrociando gli stessi dati pubblici di NVD e CISA KEV citati in questo articolo — non si tratta di una fonte aggiuntiva diversa, bensì di un'analisi interna su questa stessa informazione [1][2] — per dare priorità ad avvisi come questo in base alla gravità reale e allo sfruttamento confermato, così da aiutare le aziende a distinguere il rumore di fondo dall'urgenza reale.

Come proteggersi

• Identifica tutti i server ColdFusion della tua organizzazione e di terze parti che vi forniscono servizi, inclusi ambienti di test o legacy.
• Verifica la versione installata rispetto a quelle interessate (2025.9, 2023.20 e precedenti) [1].
• Applica la patch o l'aggiornamento pubblicato da Adobe non appena disponibile per la vostra versione; trattandosi di una vulnerabilità già sfruttata secondo CISA KEV [2], non conviene rimandare questa azione.
• Limita l'accesso alle interfacce amministrative di ColdFusion, restringendolo per IP o VPN quando possibile, mentre si completa l'applicazione della patch.
• Controlla i log di accesso e degli errori alla ricerca di pattern anomali di percorsi di file insoliti.
• Segmenta la rete in modo che un server ColdFusion compromesso non dia accesso diretto ai sistemi critici.

Domande frequenti

È urgente agire subito?

Sì. La gravità massima (CVSS 10.0) [1] e lo sfruttamento attivo confermato nel CISA KEV [2] sono segnali chiari che indicano di dare priorità a questa verifica rispetto ad altre attività di manutenzione.

Riguarda tutte le versioni di ColdFusion?

I dati ufficiali indicano le versioni 2025.9, 2023.20 e precedenti [1]. Se avete un'altra versione, verificatelo comunque con il vostro fornitore o team tecnico, poiché conviene controllare caso per caso.

Serve un'interazione dell'utente perché questa vulnerabilità venga sfruttata?

No. Secondo la descrizione ufficiale, lo sfruttamento non richiede interazione dell'utente [1], il che la rende più pericolosa di altre falle che dipendono dall'ingannare qualcuno.

Cos'è CISA KEV e perché è importante che vi compaia?

È il catalogo delle vulnerabilità sfruttate conosciute mantenuto dall'agenzia di cybersicurezza degli Stati Uniti. Il fatto che un CVE vi figuri significa che esistono prove di attacchi reali in corso, non solo un rischio teorico [2].

Fonti

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-48282
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json