CVE-2026-48276: Upload irrestrito de arquivo perigoso no Adobe ColdFusion leva à execução arbitrária de código

Visão geral

A Adobe publicou o aviso APSB26-68 para o ColdFusion, citado para a CVE-2026-48276. O registro classifica a falha como CWE-434, Upload irrestrito de arquivo com tipo perigoso. A descrição indica possível execução arbitrária de código no contexto do usuário atual.

Impacto

• A CNA atribui severidade Crítica com pontuação base CVSS 3.1 de 10.0.
• O vetor indica ataque pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e escopo alterado.
• O vetor classifica o impacto em confidencialidade, integridade e disponibilidade como alto.
• Um ataque bem-sucedido poderia permitir a execução de código com os privilégios do contexto do ColdFusion, o que pode alcançar dados e serviços além da própria aplicação.

Produtos e versões afetados

• A descrição cita as versões 2025.9, 2023.20 e anteriores do ColdFusion.
• A lista estruturada do registro inclui várias entradas de atualização das séries 2023 e 2025 do Adobe ColdFusion.
• O registro não informa versões corrigidas. A ausência dessa informação não significa que não exista correção; consulte o aviso do fabricante.

Status de exploração

• O catálogo KEV da CISA não lista esta CVE no registro.
• Não há exploração confirmada nas fontes consultadas.
• A probabilidade EPSS é 0,0126 (cerca de 1,26 por cento), com percentil 0,68862 no registro. Trata-se de uma estimativa estatística, não de evidência de ataques.

Correção e mitigação

• Identifique todas as instalações do ColdFusion, incluindo níveis de atualização mais antigos das séries 2023 e 2025, e compare com o aviso do fabricante.
• Aplique a correção do fabricante assim que ela for confirmada para a sua versão. Como o registro não traz versões corrigidas, verifique a correção no aviso.
• Até concluir a atualização, restrinja quem pode acessar funcionalidades administrativas e de upload e limite a exposição de rede dos serviços do ColdFusion.
• Revise o tratamento de uploads e os locais de armazenamento para que conteúdo enviado não possa ser executado pelo servidor.

Orientações de detecção

• Revise logs do servidor web e da aplicação em busca de criação inesperada de arquivos ou de novos tipos de arquivo em diretórios de upload e acessíveis pela web.
• Monitore processos incomuns iniciados pela conta de serviço do ColdFusion.
• Gere alertas para alterações inesperadas em arquivos de configuração e de aplicação do ColdFusion.

Limitações das informações disponíveis

• O registro não inclui lista de versões corrigidas, por isso as versões exatas com correção são desconhecidas.
• O título não foi fornecido no registro e foi redigido a partir do CWE e da descrição.
• O registro não inclui detalhes de exploração, informações sobre provas de conceito públicas nem exploração confirmada pelo fabricante.
• Foram usadas apenas as referências do NVD, do CVE.org e o aviso do fabricante presentes no registro.

Perguntas frequentes

A CVE-2026-48276 é conhecida como explorada ativamente?

O catálogo KEV da CISA não a lista no registro, e não há exploração confirmada nas fontes consultadas.

Quais versões do ColdFusion são afetadas?

A descrição cita o ColdFusion 2025.9, 2023.20 e anteriores. O registro também inclui várias entradas de atualização das séries 2023 e 2025.

O registro informa uma versão corrigida?

Não. O registro não lista versões corrigidas, então consulte o aviso APSB26-68 da Adobe para detalhes da correção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.