Adobe izlaida ārpuskārtas ielāpu, kas aizver deviņas kļūdas ColdFusion un Campaign Classic. Septiņām no tām ir augstākais iespējamais CVSS vērtējums — 10.0. Visas septiņas ļauj uzbrucējam attālināti palaist kodu uz servera, neievadot paroli un neprasot, lai kāds uz kaut kā uzklikšķina.
Vienu no tām uzbrucēji sāka izmantot dažu stundu laikā pēc tam, kad Adobe to publiskoja. Tā ir path traversal kļūda ar apzīmējumu CVE-2026-48282. The Hacker News ziņo par mēģinājumiem no IP adresēm Indijā nolasīt failu C:Windowswin.ini — vecs pārbaudes paņēmiens, ar ko noskaidro, vai serveris ļauj izkļūt ārpus tīmekļa saknes mapes.
Publiskošanas brīdī Adobe apgalvoja, ka apstiprinātu eksploitu nav. Tas mainījās tajā pašā dienā. Šāda plaisa starp brīdinājumu un pirmo uzbrukumu ColdFusion produktiem nav jaunums — uzbrucēji seko Adobe biļeteniem un salīdzina ielāpu ar iepriekšējo kodu, lai atrastu labotās vietas.
Ko aizver ielāps
Kļūdas salabotas divos laidienos: ColdFusion 2023 Update 21 un ColdFusion 2025 Update 10. Skartas ir versijas 2025.9, 2023.20 un visas vecākās. Sešas no ColdFusion kļūdām ir ar CVSS 10.0.
- CVE-2026-48276 un CVE-2026-48283 — neierobežota failu augšupielāde. Uzbrucējs var augšupielādēt failu, ko serveris pēc tam izpilda.
- CVE-2026-48277, CVE-2026-48281 un CVE-2026-48316 — nepareiza ievades pārbaude, kas noved pie koda izpildes.
- CVE-2026-48282 — path traversal, kas ļauj izpildīt kodu. Šo jau izmanto uzbrucēji.
Papildus ir vēl divas kļūdas ar vērtējumu 9.3: CVE-2026-48313 ļauj neautorizēti lasīt failus no servera failu sistēmas, bet CVE-2026-48315 dod privilēģiju paaugstināšanu. Kopā ar Campaign Classic kļūdu Adobe biļetenā ir deviņi ieraksti.
Augšupielādes kļūdas ir tiešākais ceļš uz serveri
Divas no 10.0 kļūdām — CVE-2026-48276 un CVE-2026-48283 — ir neierobežota failu augšupielāde. Tas nozīmē, ka serveris pieņem augšupielādētu failu, nepārbaudot, kas tas ir un kur tas nonāk. Ja uzbrucējs var augšupielādēt .cfm vai .jsp failu mapē, no kuras serveris to pēc tam palaiž, viņš iegūst tiešu koda izpildi.
Trīs pārējās 10.0 kļūdas — CVE-2026-48277, CVE-2026-48281 un CVE-2026-48316 — ir nepareiza ievades pārbaude. Šeit serveris uzticas datiem, ko saņem no pieprasījuma, un ļauj tiem sasniegt vietu, kur tie tiek interpretēti kā komandas. Rezultāts ir tāds pats: kods, ko uzbrucējs izvēlējies, izpildās ar servera tiesībām.
Kāpēc CVE-2026-48282 ir bīstamākā
Path traversal ļauj pieprasīt failus ārpus mapes, kurā serverim vajadzētu palikt. Ja aizsardzības nav, uzbrucējs no tīmekļa saknes var aiziet līdz sistēmas failiem. Pieprasījums pēc C:Windowswin.ini pats par sevi neko nenozog, bet apstiprina, ka caurums strādā — pēc tam var lasīt konfigurācijas failus ar parolēm vai atslēgām.
Visas septiņas 10.0 kļūdas Adobe atzīmēja ar Priority 1 — augstāko steidzamības pakāpi. Uzbrukumi ir zemas sarežģītības un neprasa nekādas iepriekšējas tiesības uz servera.
Šis atjauninājums novērš ievainojamības, kuras jau tiek mērķētas vai kurām ir augstāks risks tikt mērķētām ar reālā vidē esošiem eksploitiem.
ColdFusion serveri ir izplatīts mērķis tieši tāpēc, ka tos bieži tur pieejamus internetam un reti atjaunina. Iepriekšējos gados vairākas ColdFusion kļūdas nonāca CISA aktīvi izmantoto ievainojamību sarakstā, un vēsturiski tās kalpoja par ieejas punktu ransomware grupām.
Campaign Classic — atsevišķa 10.0 kļūda
Ārpus ColdFusion ir vēl viena maksimālā vērtējuma kļūda. CVE-2026-48286 skar Adobe Campaign Classic v7.4.3 būvējumu 9396 un vecākus. Tā ir nepareizas autorizācijas kļūda, kas ļauj patvaļīgu koda izpildi. Adobe to salaboja būvējumā 9397.
Šī kļūda apdraud tikai on-premise instalācijas. Adobe hostētās Campaign versijas jau bija salāpītas, pirms biļetens iznāca, tāpēc mākoņa klientiem nekas nav jādara. Uzņēmumiem, kas Campaign tur savos serveros, jāatjaunina pašiem.
Ko darīt administratoriem
Adobe iesaka uzstādīt ielāpu 72 stundu laikā. Tā kā CVE-2026-48282 jau izmanto reālā vidē, ColdFusion serveriem, kas sasniedzami no interneta, tas ir steidzamāk. Ja tūlītēja atjaunināšana nav iespējama, der ierobežot piekļuvi administratīvajiem galapunktiem un pārbaudīt žurnālus, meklējot neparastus pieprasījumus ar ../ ceļa fragmentiem vai augšupielādēm uz izpildāmām mapēm.
Pēc atjaunināšanas ar to vien nepietiek, ja serveris jau bija pieejams internetam. Aktīvi izmantotu path traversal kļūdu gadījumā uzbrucējs var būt paguvis nolasīt konfigurācijas failus ar datubāzes parolēm vai atslēgām, tāpēc tās vēlams nomainīt. Vērts arī pārmeklēt tīmekļa mapes, meklējot svešus .cfm vai .jsp failus, kas varētu būt atstāti kā webshell.
Adobe arī maina savu ielāpu ritmu. Sākot ar 14. jūliju, drošības biļeteni iznāks divreiz mēnesī — katra mēneša otrajā un ceturtajā otrdienā, nevis reizi mēnesī. BleepingComputer raksta, ka mērķis ir ātrāk piegādāt labojumus, kad parādās šādas augsta riska kļūdas.
Komentāri
Šim rakstam vēl nav komentāru. Esi pirmais, kurš dalās ar savu viedokli.