Adobe ColdFusion, CVSS 10.0: codice eseguito senza un login

Dieci su dieci non è un modo di dire

Nel punteggio CVSS, 10.0 è il tetto. Ci arriva una vulnerabilità che è insieme banale da sfruttare, non richiede alcuna autenticazione e porta al controllo completo del sistema. CVE-2026-48282, in Adobe ColdFusion, è tutte e tre le cose. Adobe l'ha corretta il 30 giugno 2026 con l'advisory APSB26-68; il 7 luglio la CISA l'ha aggiunta al catalogo delle vulnerabilità sfruttate attivamente, fissando al 10 luglio la scadenza di bonifica per le agenzie federali in base alla direttiva BOD 26-04. Quando una CVE passa dalla pubblicazione allo sfruttamento reale nel giro di una settimana, la finestra per difendersi è quella, non di più.

Dove sta il difetto

Il problema vive in un componente specifico: il gestore FILEIO dei Remote Development Services (RDS) di ColdFusion, esposto attraverso un endpoint web. È un difetto di path traversal — la mancata sanitizzazione del percorso dei file. In pratica, inviando una richiesta HTTP costruita ad arte verso l'endpoint vulnerabile, un attaccante può inserire sequenze di attraversamento delle cartelle (le classiche ../) e uscire dalla directory prevista.

Da lì la catena è breve. Prima la lettura e la scrittura arbitraria di file: si leggono file sensibili fuori dal percorso consentito, o si sovrascrivono file di configurazione. Poi il salto di qualità: scrivendo un file .cfm malevolo in una cartella raggiungibile dal web, l'attaccante fa eseguire il proprio codice al server, con i privilegi dell'account del servizio ColdFusion. Il tutto senza mai autenticarsi. Secondo l'analisi di Akamai, l'endpoint interessato è raggiungibile via interfaccia web e non richiede interazione dell'utente: è, testualmente, altamente accessibile.

1. 01
   Richiesta HTTP costruita ad arte

   verso l'endpoint RDS FILEIO, senza login
2. 02
   Path traversal ../

   lettura e scrittura di file fuori dalla cartella prevista
3. 03
   File .cfm nel web root

   esecuzione di codice da remoto sul server

Chi è esposto, e cosa fare adesso

La vulnerabilità è presente in Adobe ColdFusion 2025.9 e versioni precedenti, e in ColdFusion 2023.20 e precedenti. Adobe ha rilasciato i correttivi negli aggiornamenti ColdFusion 2025 update 10 e 2023 update 21. La priorità operativa è quella, ed è secca: applicare le patch di APSB26-68 subito, dando la precedenza a qualunque istanza raggiungibile da internet.

Chi non può aggiornare immediatamente ha alcune mitigazioni ponte, ma nessuna sostituisce la patch. Ridurre l'esposizione dei Remote Development Services — che in produzione raramente devono essere raggiungibili dall'esterno — toglie all'attaccante l'endpoint stesso. Le regole di un web application firewall possono intercettare i pattern di sfruttamento noti, e alcuni fornitori ne hanno già pubblicate; ma un WAF filtra ciò che conosce, e da solo non chiude il buco. La stessa Akamai, che ha distribuito una regola dedicata per i propri clienti, è chiara: la difesa più efficace resta applicare tempestivamente la patch del produttore.

Una nota di metodo, dovuta. Descriviamo la meccanica a livello concettuale — path traversal, scrittura di file, esecuzione di codice — e non pubblichiamo né la richiesta né l'endpoint completo con cui si sfrutta la falla: la logica di questo dossier è aiutare a difendersi, non fornire una ricetta. I fatti che contano sono verificabili alle fonti in testa alla pagina: l'advisory di Adobe per la descrizione tecnica e le versioni, il catalogo CISA per la conferma dello sfruttamento attivo e la scadenza di bonifica. ColdFusion è un bersaglio storicamente attraente per gli attaccanti proprio perché regge applicazioni web esposte; una falla da 10 su 10, non autenticata, è esattamente il tipo di regalo che non aspettano altro.