CVE-2026-48281: Adobe ColdFusion: validação de entrada inadequada com execução de código
A CVE-2026-48281 é uma falha crítica de Validação de Entrada Inadequada (CWE-20) no Adobe ColdFusion que, segundo o registro, pode permitir execução arbitrária de código no contexto do usuário atual. A pontuação base CVSS 3.1 é 10.0, com vetor de rede, sem necessidade de privilégios ou interação do usuário e com escopo alterado. O registro não mostra inclusão no catálogo KEV da CISA nem versão corrigida, por isso o aviso do fabricante APSB26-68 deve ser consultado para a remediação.
Visão geral
A CVE-2026-48281 afeta o Adobe ColdFusion e é classificada como CWE-20, Validação de Entrada Inadequada. O registro descreve a falha como capaz de resultar em execução arbitrária de código no contexto do usuário atual.
Impacto
- Confidencialidade, integridade e disponibilidade: os dados CVSS 3.1 do registro classificam os três como altos.
- Escopo: o registro indica que o escopo é alterado.
- Privilégios e interação: o registro informa que não são necessários privilégios nem interação do usuário.
Produtos e versões afetados
- O registro cita o Adobe ColdFusion. A descrição menciona as versões 2025.9, 2023.20 e anteriores.
- A lista de afetados no registro inclui diversas atualizações das linhas 2023 e 2025. O registro não informa como essas builds se relacionam com as versões citadas na descrição.
Status de exploração
O registro não mostra inclusão no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS registrada é 0,0142, com percentil de 0,72154.
Correção e mitigação
- Consulte o aviso de segurança da Adobe APSB26-68 e aplique a atualização do fabricante para a sua linha do ColdFusion.
- O registro não contém versão corrigida. Essa ausência não significa que não exista correção.
- Até a aplicação do patch, restrinja a exposição de rede das interfaces administrativas e de aplicação do ColdFusion e siga a linha de base de hardening interna.
Orientações de detecção
- Monitore os logs do servidor ColdFusion em busca de requisições incomuns, erros no tratamento de entradas e alterações inesperadas em arquivos de aplicação.
- Observe processos do ColdFusion que iniciem processos filhos inesperados ou façam conexões de saída incomuns, como indicador geral de comprometimento.
Limitações das informações disponíveis
O registro não traz lista de versões corrigidas, detalhes técnicos do fabricante sobre o componente vulnerável nem telemetria de exploração além do EPSS. Verifique os detalhes no aviso do fabricante e na NVD.
Perguntas frequentes
A CVE-2026-48281 permite execução de código?
Segundo o registro, a falha pode resultar em execução arbitrária de código no contexto do usuário atual. O registro não descreve o caminho técnico exato.
O registro informa uma versão corrigida?
Não. O registro não contém versão corrigida. Consulte o aviso do fabricante APSB26-68 para os detalhes de correção.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.