正遭利用的 ColdFusion 任意代码执行漏洞，CVSS 评分达到满分 10

sec随谈
sec随谈

sec随谈

2026年7月3日 13:25
北京

在小说阅读器读本章

去阅读

摘要

CVE-2026-48282 是一个 CVSS 评分为满分 10 的严重 ColdFusion 任意代码执行漏洞，目前正遭到实际攻击。黑客正在野外利用这个路径遍历（path traversal）漏洞。管理员必须立即应用紧急补丁，以防止服务器被接管。

为何值得关注

Adobe ColdFusion 在全球承载着关键的企业应用程序。这个 ColdFusion 任意代码执行漏洞完全无需任何用户交互。攻击者可远程完全控制目标服务器。加拿大网络安全中心（Canadian Centre for Cyber Security）警告称，目前正有实际利用行为在持续发生。此外，威胁情报数据证实，这些攻击在漏洞公开披露后两小时内便已开始。官方尚未确认具体的装机数量，但已有数以千计的企业在运行存在漏洞的 ColdFusion 服务器。

攻击如何运作

该缺陷涉及一个严重的路径遍历错误。路径遍历漏洞对 Web 服务器而言极其危险。该软件未能正确地将路径名限制在受限目录之内。黑客通过发送精心构造的网络请求来绕过这些目录限制。因此，他们得以在当前用户的上下文中运行恶意代码。Ryan Dewhurst 在一个全球蜜罐网络（honeypot network）中观察到了正是这一利用机制被触发的过程。一名从印度 IP 地址发起攻击的行为者成功利用了该漏洞并获得了访问权限。

受影响的版本

该漏洞影响多个近期发布的产品版本。ColdFusion 2025 Update 9 及所有更早版本均存在漏洞。此外，ColdFusion 2023 Update 20 及更早版本也存在该缺陷。

补丁与缓解措施

Adobe 已发布紧急安全补丁以修复这一严重问题。系统管理员必须安装 ColdFusion 2025 Update 10 或 ColdFusion 2023 Update 21。请查阅 Adobe 官方安全公告以获取详细的部署说明。请立即应用这些更新，以保护你的环境免受这一活跃威胁的侵害。同时，请将你的 Web 服务器与内部网络进行分段隔离，以限制潜在的损害。

参考链接：

https://helpx.adobe.com/security/products/coldfusion/apsb26-68.html