Adobe ColdFusion: פרצה בדרגה 10 מנוצלת בפועל, ו-CISA מוסיפה אותה ל-KEV
CVE-2026-48282 ב-Adobe ColdFusion מאפשרת לכתוב קבצים לשרת ולהריץ קוד, ותוקפים ניצלו אותה כבר ב-2 ביולי. השרת חשוף רק כש-RDS מופעל והאימות שלו כבוי.
TL;DR בקצרה
- CISA הוסיפה ב-7 ביולי 2026 את CVE-2026-48282 ב-Adobe ColdFusion לקטלוג החולשות המנוצלות, עם מועד טיפול ב-10 ביולי.
- הפרצה היא מעבר בנתיבים ב-RDS שמאפשר כתיבת קבצים והרצת קוד. היא פועלת רק כש-RDS מופעל והאימות שלו כבוי.
- Adobe שחררה לה תיקון ב-30 ביוני ב-ColdFusion 2025 Update 10 וב-2023 Update 21.
- ניסיוני ניצול נרשמו ב-2 ביולי, זמן קצר אחרי הניתוח של watchTowr.
CISA הוסיפה ב-7 ביולי 2026 את CVE-2026-48282 לקטלוג החולשות המנוצלות שלה. זו פרצה בדרגת חומרה מרבית ב-Adobe ColdFusion. Adobe שחררה תיקון ב-30 ביוני. תוקפים ניסו לנצל אותה כבר ב-2 ביולי.
הפרצה מאפשרת לכתוב קבצים לשרת ולהריץ קוד, בלי הזדהות. אבל יש תנאי: היא פועלת רק בשרתים ש-RDS פועל בהם ואימות ה-RDS כבוי. לפי Help Net Security, RDS כבוי כברירת מחדל.
Adobe ColdFusion: מה הפרצה ב-RDS ומתי שרת חשוף
RDS הוא Remote Development Services. הוא מאפשר לסביבות פיתוח כמו ColdFusion Builder או Dreamweaver לדבר עם שרת פעיל דרך HTTP. לפי watchTowr, דרכו אפשר גם לעיין במערכת הקבצים ולהריץ שאילתות למסד נתונים.
המטפל בבקשות FILEIO, בכתובת /CFIDE/main/ide.cfm?ACTION=FILEIO, לא בדק את הנתיבים שקיבל. תוקף יכול לכתוב קבצים מחוץ לתיקייה המיועדת, ובהם דף CFML עם תגי cfexecute. הקוד שלו רץ בהרשאות של חשבון השירות של ColdFusion. לפי Orca Security, בווינדוס זה NT AUTHORITY\SYSTEM.
הפגיעות הן כל הגרסאות של ColdFusion 2025 עד Update 9, ושל ColdFusion 2023 עד Update 20. כדי לתקן, צריך לעבור ל-Update 10 בענף 2025, או ל-Update 21 בענף 2023. לפי Deepwatch, Adobe דירגה את העדכון בעדיפות 1.
מהניתוח לתקיפה: איך התוקפים הגיעו ל-Adobe ColdFusion בתוך ימים
ב-2 ביולי 2026 פרסם watchTowr Labs ניתוח של העדכון של Adobe. החוקרים השוו בין הגרסה הישנה לחדשה כדי להבין מה תוקן. תוקפים עושים אותו דבר, וכך הם הופכים תיקון לכלי תקיפה.
לפי Help Net Security, חיישני הפיתיון של KEVIntel רשמו ניסיונות ניצול באותו יום, דקות אחרי הפרסום. לפי Orca Security, הניסיונות התחילו בתוך שעתיים. בכל מקרה, התוקפים לא חיכו.
CISA קבעה למוסדות פדרליים בארה״ב מועד טיפול ב-10 ביולי. Shadowserver עוקב אחרי כ-750 שרתי ColdFusion החשופים לאינטרנט. לא ידוע כמה מהם פגיעים או מפעילים RDS.
העדכון של Adobe תיקן 11 מזהי CVE, לפי הרשימה של watchTowr. אחד מהם, CVE-2026-48313, קשור לקריאת קבצים דרך אותו ממשק. watchTowr מציינת שההתאמה בין המזהים לבין הפגיעויות היא הערכה שלה.
Adobe ColdFusion: איך בודקים אם תקפו אתכם
חפשו בלוגים של השרת בקשות מסוג POST אל נקודת הקצה /CFIDE/main/ide.cfm, עם הפרמטר ACTION=FILEIO. לפי Deepwatch, יש עוד שני סימנים בבקשה עצמה. הראשון הוא כותרת מסוג application/x-ColdFusionIDE. השני הוא User-Agent ישן בשם Dreamweaver-RDS-SCM1.00.
בדקו גם קבצים חדשים בשורש האתר ובתיקייה /CFIDE/, כמו cfm, cfc או jsp שאתם לא מכירים. Deepwatch מזכירה עוד סימנים: ColdFusion שמפעיל את cmd.exe או את PowerShell, וקבצי הפעלה חדשים בתיקייה C:\ProgramData. Help Net Security ממליצה לבדוק זאת בשרתים שהיו חשופים לאינטרנט בשבוע שלפני פרסום הכתבה.
מה זה אומר עבורכם
- עדכנו: התקינו ColdFusion 2025 Update 10 או 2023 Update 21. לפי CrowdSec, זה התיקון המלא היחיד.
- בדקו אם RDS פועל: כבו אותו בסביבת ייצור אם הוא לא הכרחי. אם הוא נחוץ, הפעילו את אימות ה-RDS. Deepwatch מציעה גם לנטרל את מיפוי RDSServlet בקובץ web.xml.
- חסמו גישה מבחוץ: הגבילו את
/CFIDE/administratorואת נקודות הקצה של RDS בחומת אש או ב-WAF. - חפשו סימני פריצה: בדקו קבצי cfm, cfc ו-jsp חדשים ואת הלוגים של ide.cfm. אם מצאתם, הניחו שהתוקפים השתלטו על השרת.
- החליפו פרטי גישה: Orca Security ממליצה להחליף סיסמאות ומפתחות בכל שרת ColdFusion שפעל מול האינטרנט מאז ההתראה ב-30 ביוני.
מה קרה מאז
CrowdSec רשמה ב-20 ביולי 2026 את הניצול הראשון ברשת שלה. עד הדוח שלה מ-1 באוגוסט היא ספרה 107 כתובות IP תוקפות. לדבריה, מסתובבים כבר PoC עובד ותבנית זיהוי ציבורית של Nuclei. היעדים כללו אתרי מסחר, עמותות, בריאות ותעשייה.
מקורות והרחבה
- Attackers exploit critical Adobe ColdFusion vulnerability (CVE-2026-48282)Help Net Security
- It's 37oC, And All We Can Think About Is ColdFusion (Adobe ColdFusion Security Bulletin APSB26-68 CVE Bonanza)watchTowr Labs
- Known Exploited Vulnerabilities Catalog (entry for CVE-2026-48282, added 2026-07-07)CISA
- Adobe ColdFusion critical path traversal (CVE-2026-48282)Akamai
- CVE-2026-48282: Adobe ColdFusion RDS path traversal RCECrowdSec
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
