Adobe ColdFusion : CVE-2026-48282 exploitée quelques jours après le correctif

Début juillet 2026, des attaquants ont commencé à exploiter CVE-2026-48282, une vulnérabilité de gravité maximale d'Adobe ColdFusion qu'Adobe avait corrigée le 30 juin 2026 en même temps que neuf autres failles critiques. Il s'agit d'une traversée de répertoire dans le gestionnaire d'entrées-sorties de fichiers des Remote Development Services (RDS), qui permet à un attaquant non authentifié d'écrire des fichiers et d'obtenir une exécution de code à distance sur le serveur.

La société de renseignement sur les vulnérabilités KEVIntel a détecté des tentatives d'exploitation contre ses honeypots le 2 juillet, le jour même où les chercheurs de watchTowr publiaient une analyse technique. Les 7 et 8 juillet, la faille a été ajoutée au catalogue Known Exploited Vulnerabilities de la CISA, les agences fédérales civiles américaines devant corriger avant le 10 juillet.

Exposition

L'exploitation suppose que RDS soit activé et que l'authentification RDS soit désactivée, ce qui n'est pas la configuration par défaut et limite le nombre de serveurs vulnérables. La Shadowserver Foundation recensait environ 750 serveurs ColdFusion exposés sur Internet. Les versions corrigées sont ColdFusion 2025 Update 10 et ColdFusion 2023 Update 21, et les défenseurs étaient invités à rechercher des fichiers inattendus dans la racine web et le répertoire /CFIDE/.

Pourquoi c'est important

ColdFusion reste répandu dans les infrastructures web des administrations, de la finance et de la santé, et a une longue histoire d'exploitation rapide après la publication des correctifs. La militarisation quasi immédiate de CVE-2026-48282 confirme que l'intervalle entre un correctif et l'exploitation de masse se compte désormais en heures ou en jours, ce qui expose d'office les organisations aux cycles de correction lents.