El Centro Canadiense de Ciberseguridad advirtió que atacantes ya están explotando la vulnerabilidad de severidad máxima CVE-2026-48282 en Adobe ColdFusion. Este fallo permite la ejecución remota de código en sistemas no parcheados sin necesidad de privilegios. Adobe ya lanzó actualizaciones de seguridad e insta a los administradores a instalarlas inmediatamente para mitigar el riesgo.



Los atacantes están explotando actualmente una vulnerabilidad de severidad máxima de Adobe ColdFusion rastreada como CVE-2026-48282, advirtió el jueves el Centro Canadiense de Ciberseguridad (CCCS).

ColdFusion es una plataforma comercial de desarrollo de aplicaciones web diseñada para ayudar a crear y desplegar sitios web de nivel empresarial. El fallo de seguridad CVE-2026-48282 afecta a las versiones de ColdFusion 2025.9, 2023.20 y anteriores, y puede ser explotado por atacantes sin privilegios para lograr la ejecución remota de código en sistemas no parcheados.

Adobe lanzó actualizaciones de seguridad el martes para solucionar la vulnerabilidad, afirmando que representaba un alto riesgo de explotación e instando a los administradores a implementar los parches inmediatamente.


"Esta actualización resuelve vulnerabilidades que están siendo objetivo, o que tienen un mayor riesgo de serlo, mediante exploits activos para una versión y plataforma determinadas del producto", señaló Adobe. "Adobe recomienda a los administradores instalar la actualización lo antes posible (por ejemplo, en un plazo de 72 horas)".

Dos días después, el CCCS, la autoridad del Gobierno de Canadá que coordina la respuesta nacional del país ante cualquier incidente de ciberseguridad, advirtió que los actores de amenazas ya han comenzado a explotar el CVE-2026-48282 y pidió a los defensores que aseguren sus sistemas contra los ataques en curso.

"Los informes de fuentes abiertas indican que el CVE-2026-48282 está siendo explotado", afirmó el CCCS. "El Centro de Ciberseguridad anima a los usuarios y administradores a revisar los enlaces web proporcionados y a aplicar las actualizaciones necesarias".

El observador de seguridad de Internet Shadowserver rastrea casi 800 instancias de Adobe ColdFusion expuestas en línea, pero no hay información sobre cuántas son honeypots o han sido aseguradas contra los ataques dirigidos al fallo CVE-2026-48282.

Instancias de Adobe ColdFusion expuestas en línea (Adobe)

La semana pasada, Adobe lanzó parches para seis fallos de severidad máxima en las plataformas de desarrollo de aplicaciones web ColdFusion y de automatización de marketing Campaign Classic, todos los cuales son explotables mediante ataques de baja complejidad que no requieren interacción del usuario y están etiquetados como de alto riesgo de ser objetivo.

La empresa aún no ha señalado ninguno de ellos como activamente explotado, afirmando que "no tiene conocimiento de ningún exploit activo para ninguno de los problemas abordados en estas actualizaciones".

A principios de abril, Adobe también emitió actualizaciones de emergencia para corregir una vulnerabilidad de Acrobat Reader (CVE-2026-34621) que había sido explotada en ataques de día cero durante al menos cuatro meses, desde diciembre de 2025.

Desde noviembre de 2021, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha incluido 79 vulnerabilidades en productos de Adobe en su catálogo de fallos activamente explotados, 10 de los cuales también han sido abusados en ataques de ransomware.

Fuente:
BleepingComputer