Adobe corrige falhas críticas no ColdFusion

A Adobe disponibilizou atualizações de segurança para o ColdFusion e o Campaign Classic que corrigem um conjunto de vulnerabilidades críticas que, se exploradas, podem permitir a execução remota de código nos sistemas afetados.

No Campaign Classic, a atualização resolve a vulnerabilidade CVE-2026-48286, com classificação máxima de dez em dez na escala CVSS. A falha resulta de um problema de autorização incorreta e pode permitir a execução arbitrária de código. A correção foi incluída na versão 7.4.3 build 9397, disponível para Windows e Linux.

Já o ColdFusion recebeu correções para 11 vulnerabilidades, seis das quais apresentam igualmente uma classificação CVSS de dez. As falhas, identificadas como CVE-2026-48276, CVE-2026-48277, CVE-2026-48281, CVE-2026-48316, CVE-2026-48282 e CVE-2026-48283, podem permitir a execução arbitrária de código devido a problemas como carregamento irrestrito de ficheiros perigosos, validação inadequada de entradas e vulnerabilidades de path traversal.

A atualização corrige ainda duas vulnerabilidades críticas, CVE-2026-48313 e CVE-2026-48315 (CVSS 9,3), que podem permitir a leitura arbitrária do sistema de ficheiros e a escalada de privilégios. Foram igualmente resolvidas uma vulnerabilidade Cross-Site Scripting (XSS) suscetível de conduzir à execução de código, uma falha Server-Side Request Forgery (SSRF) que pode contornar mecanismos de segurança e outra vulnerabilidade de path traversal classificada como de gravidade média.

As correções foram disponibilizadas através do ColdFusion 2025 Update 10 e do ColdFusion 2023 Update 21.

Embora a Adobe afirme não ter conhecimento de exploração ativa destas vulnerabilidades, atribuiu prioridade máxima às atualizações, o que indica que as falhas apresentam um elevado potencial de serem exploradas em ataques. A empresa recomenda, por isso, que as organizações atualizem os sistemas afetados o mais rapidamente possível.