CVE-2026-27304: Adobe ColdFusion - Validação de Entrada Imprópria (CWE-20)
A CVE-2026-27304 é uma falha de validação de entrada imprópria (CWE-20) no Adobe ColdFusion. Segundo o CNA, ela permite execução arbitrária de código no contexto do usuário atual, sem necessidade de interação do usuário, com pontuação CVSS 9.3 (crítica). As fontes consultadas não apontam exploração confirmada, e o registro não informa versão corrigida, por isso vale consultar o boletim do fabricante APSB26-38.
Visão geral
A CVE-2026-27304 afeta o Adobe ColdFusion. O CNA descreve uma falha de validação de entrada imprópria (CWE-20) que pode resultar em execução arbitrária de código no contexto do usuário atual, e informa que a exploração não exige interação do usuário.
Impacto
- Execução arbitrária de código no contexto do usuário atual, conforme descrito pelo CNA.
- Pontuação CVSS do CNA de 9.3 (crítica).
- O vetor do registro indica vetor de rede adjacente, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário, escopo alterado e alto impacto em confidencialidade e integridade, sem impacto em disponibilidade.
- O impacto técnico no SSVC está registrado como total.
Produtos e versões afetadas
- Adobe ColdFusion da linha 2023, até e incluindo 2023.18.
- Adobe ColdFusion da linha 2025, até e incluindo 2025.6.
- O registro também lista builds de atualização individuais das linhas 2023 e 2025.
- O registro não informa versão corrigida. Isso não significa que não exista correção; consulte o boletim do fabricante.
Status de exploração
- O catálogo KEV da CISA não lista esta CVE no registro (kev.listed é falso), portanto a exploração ativa não é confirmada por essa fonte.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
- O SSVC registra exploração como none e automatizável como no.
- A probabilidade EPSS é 0.00457, com percentil de 0.38715.
Correção e mitigação
- Revise o boletim do fabricante APSB26-38 e aplique a atualização correspondente à sua linha do ColdFusion.
- Confirme o build instalado após a aplicação e registre o resultado.
- Restrinja a exposição de rede dos serviços ColdFusion a redes confiáveis até a correção.
- Execute o serviço com privilégio mínimo para reduzir o alcance de um eventual comprometimento.
Orientação de detecção
- Revise os logs de aplicação e de acesso do ColdFusion em busca de requisições ou padrões de entrada incomuns, em nível geral.
- Monitore processos filhos inesperados ou alterações em arquivos criados pela conta de serviço do ColdFusion.
- Mantenha a telemetria de endpoint e de rede do host ColdFusion sob observação durante a janela de correção.
Limitações das informações disponíveis
- O registro não informa o número do build corrigido.
- O registro não descreve o componente vulnerável nem a entrada específica envolvida.
- O boletim completo do fabricante não fez parte do registro, então os detalhes de atualização devem ser obtidos diretamente com o fabricante.
- Os valores EPSS e SSVC vêm do registro e podem mudar com o tempo.
Perguntas frequentes
O que é a CVE-2026-27304?
É uma falha de validação de entrada imprópria (CWE-20) no Adobe ColdFusion que, segundo o CNA, pode permitir execução arbitrária de código como usuário atual sem interação do usuário.
Esta vulnerabilidade está sendo explorada ativamente?
O catálogo KEV da CISA não a lista neste registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
Quais versões são afetadas?
O registro lista a linha 2023 até e incluindo 2023.18 e a linha 2025 até e incluindo 2025.6, além de builds de atualização individuais.
O que os administradores devem fazer?
Revisar o boletim APSB26-38, aplicar a atualização da sua linha, confirmar o build instalado e limitar a exposição de rede até a correção.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.