Adobe ha lanzado una actualización de seguridad urgente para ColdFusion 2025 y 2023 con el fin de corregir múltiples vulnerabilidades críticas. Estos fallos podrían permitir la ejecución de código arbitrario, la escalada de privilegios, la lectura de archivos arbitrarios y la omisión de funciones de seguridad. Debido a que han sido clasificadas como Prioridad 1, se recomienda a los administradores aplicar los parches lo antes posible.

Adobe ha lanzado una actualización de seguridad urgente para ColdFusion 2025 y 2023 para corregir múltiples vulnerabilidades críticas que podrían permitir la ejecución de código arbitrario, la escalada de privilegios, la lectura de archivos arbitrarios y la omisión de funciones de seguridad.

Los problemas están calificados como Prioridad 1, lo que significa que debes aplicar los parches lo antes posible en entornos con riesgo de explotación activa.

La actualización afecta a ColdFusion 2025 Update 9 y anteriores, y a ColdFusion 2023 Update 20 y anteriores, en todas las plataformas compatibles.

Adobe ha distribuido ColdFusion 2025 Update 10 y ColdFusion 2023 Update 21 como las versiones corregidas y recomienda encarecidamente que todos los clientes actualicen a estas versiones de inmediato.

Múltiples Vulnerabilidades de Adobe ColdFusion

Varias de las vulnerabilidades recién reveladas tienen una calificación CVSS de 10.0 y permiten la ejecución de código arbitrario remoto y no autenticado a través de la red.

Estas incluyen fallos de carga de archivos sin restricciones, salto de directorio (path traversal) y validación de entrada incorrecta que podrían permitir a los atacantes cargar y ejecutar cargas útiles maliciosas o abusar de solicitudes manipuladas para obtener el control total del servidor ColdFusion afectado.

Los CVE críticos de clase RCE incluyen:

CVE-2026-48276, CVE-2026-48283: Carga sin restricciones de archivos con tipos peligrosos (CWE-434) que conducen a la ejecución de código arbitrario (CVSS 10.0).

CVE-2026-48277, CVE-2026-48281, CVE-2026-48316: Validación de entrada incorrecta (CWE-20) que permite la ejecución de código arbitrario (CVSS 10.0).

CVE-2026-48282: Salto de directorio (CWE-22) que conduce a la ejecución de código arbitrario (CVSS 10.0).

Más allá del RCE completo, la actualización también soluciona debilidades críticas que pueden encadenarse para lograr un compromiso más profundo.

CVE-2026-48313, un error crítico de salto de directorio, permite lecturas arbitrarias del sistema de archivos y tiene una puntuación CVSS de 9.3, lo que aumenta el riesgo de exposición de configuraciones y credenciales.

La escalada de privilegios es posible a través de CVE-2026-48315 (validación de entrada incorrecta, CVSS 9.3) y CVE-2026-48314 (salto de directorio, CVSS 6.5).

La versión también corrige un problema de XSS reflejado (CVE-2026-48307, CVSS 8.8) y una vulnerabilidad crítica de SSRF (CVE-2026-48285, CVSS 8.6) que podría usarse para omitir controles de seguridad y pivotar hacia recursos internos.

Adobe afirma que actualmente no tiene conocimiento de exploits activos para ninguna de las vulnerabilidades abordadas en esta actualización.

Sin embargo, la combinación del acceso a la red no autenticado, las puntuaciones máximas de CVSS y el históricamente alto interés de los atacantes en ColdFusion hacen que el despliegue rápido de parches sea esencial para las instancias orientadas a internet.

También se te insta a actualizar al JDK/JRE compatible más reciente, utilizar el conector Java de MySQL más reciente, configurar el filtro serie para mitigar la deserialización insegura y aplicar las recomendaciones oficiales de la Guía de Bloqueo y configuración de seguridad de ColdFusion.

Adobe reconoce a los investigadores externos, incluidos Anirudh Anand (a0xnirudh), Matan Sandori (matans1) y 2Bsecure, por informar responsablemente sobre varios errores a través del programa de recompensas HackerOne de la compañía.

Fuentes:
https://cybersecuritynews.com/multiple-adobe-coldfusion-vulnerabilities/