CVE-2026-48283: Adobe ColdFusion: upload irrestrito de arquivo com risco de execução de código
A CVE-2026-48283 afeta o Adobe ColdFusion nas versões 2025.9, 2023.20 e anteriores, e está classificada como CWE-434 (Upload Irrestrito de Arquivo com Tipo Perigoso). O registro indica que a exploração poderia levar à execução arbitrária de código no contexto do usuário atual, sem necessidade de interação do usuário e com alteração de escopo. O CNA atribuiu pontuação CVSS 3.1 de 10.0, e o registro não informa versões corrigidas nem exploração confirmada.
Visão geral
O Adobe ColdFusion é afetado pela CVE-2026-48283, uma fraqueza de Upload Irrestrito de Arquivo com Tipo Perigoso (CWE-434). Segundo o registro, a falha poderia permitir execução arbitrária de código no contexto do usuário atual. O registro cita como referência do fabricante o boletim de segurança da Adobe APSB26-68.
Impacto
- O CNA psirt@adobe.com informa pontuação base CVSS 3.1 de 10.0, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H.
- Pelo vetor, o ataque é realizado pela rede, não exige privilégios nem interação do usuário, altera o escopo e tem alto impacto sobre confidencialidade, integridade e disponibilidade.
- O registro descreve o resultado como execução arbitrária de código no contexto do usuário atual. O impacto real depende dos privilégios do processo do ColdFusion e do ambiente.
Produtos e versões afetadas
O registro identifica o Adobe ColdFusion e indica que as versões 2025.9, 2023.20 e anteriores são afetadas. As entradas afetadas incluem muitas atualizações de diversas linhas de lançamento. O campo de correções do registro está vazio, portanto nenhuma versão corrigida é confirmada aqui. Os administradores devem consultar o boletim do fabricante para a lista oficial de builds afetados e corrigidos.
Status de exploração
O registro mostra que a CVE-2026-48283 não consta no catálogo KEV da CISA. Nas fontes consultadas para esta análise não aparece exploração confirmada nem exploração ativa. A probabilidade EPSS é 0,0126, com percentil de 0,68862, conforme registrado, e um campo de data de 2026-10-13 que deve ser verificado nos dados EPSS atuais.
Correção e mitigação
- Identifique todas as instâncias do ColdFusion, incluindo servidores de teste e internos, e verifique o build de cada uma.
- Aplique as correções descritas no boletim de segurança da Adobe APSB26-68 o quanto antes, priorizando sistemas expostos à internet.
- Enquanto não houver correção, restrinja quem pode acessar a funcionalidade de upload e limite os tipos de arquivo aceitos e os locais de armazenamento ao necessário para a aplicação.
- Execute o serviço do ColdFusion com os privilégios mínimos necessários e separe o armazenamento de uploads do conteúdo web executável.
- Verifique se arquivos inesperados já foram gravados pela aplicação.
Orientações de detecção
- Revise diretórios de upload e caminhos acessíveis pela web em busca de arquivos que a aplicação normalmente não cria, especialmente tipos de script do lado do servidor ou executáveis.
- Monitore os logs do servidor web e da aplicação em busca de requisições de upload incomuns de origens desconhecidas ou picos inesperados de envio.
- Gere alertas para processos filhos inesperados iniciados pela conta de serviço do ColdFusion.
- Compare linhas de base de integridade dos diretórios da aplicação após qualquer atividade suspeita.
Limitações das informações disponíveis
- O registro não traz lista de versões corrigidas, portanto o build de correção deve ser confirmado no boletim do fabricante.
- O registro não fornece detalhes técnicos além da classificação CWE e da descrição, e não inclui informações públicas de exploração.
- O registro não tem entrada no catálogo KEV da CISA nem dados SSVC.
- O campo de data do EPSS é incomum e deve ser verificado antes de se apoiar nos valores EPSS.
- Esta análise não revisou o conteúdo do boletim do fabricante além de sua listagem no registro.
Perguntas frequentes
O que é a CVE-2026-48283?
É uma fraqueza de Upload Irrestrito de Arquivo com Tipo Perigoso (CWE-434) no Adobe ColdFusion nas versões 2025.9, 2023.20 e anteriores, segundo o registro.
Esta vulnerabilidade está sendo explorada ativamente?
O registro mostra que ela não consta no catálogo KEV da CISA, e nas fontes consultadas não aparece exploração confirmada.
Qual versão corrigida devo instalar?
O registro não informa versões corrigidas. Consulte o boletim de segurança da Adobe APSB26-68 para os builds corrigidos da sua linha de versão.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.