Adobe phát hành bản vá cho 7 lỗ hổng mức tối đa trong ColdFusion và Campaign Classic
"Adobe released security updates for ColdFusion and Campaign Classic to address seven CVSS 10.0 vulnerabilities and additional high-severity flaws. The issues include arbitrary code execution, privilege escalation, arbitrary file read, and path traversal, and are fixed in ColdFusion 2023 Update 21 / 2025 Update 10 and Campaign Classic ACC v7 7.4.3 build 9397; Adobe reported no known in-the-wild exploitation."
Tác động bảo mật ở mức cao do nguy cơ arbitrary code execution và privilege escalation; đồng thời có các lỗ hổng path traversal có thể dẫn tới đọc trái phép dữ liệu hệ thống.
Rủi ro gián đoạn vận hành và ảnh hưởng dữ liệu tăng do khả năng bị khai thác trên môi trường on-premise; cần cập nhật khẩn để giảm thiểu thời gian phơi nhiễm.
Adobe đã phát hành các bản cập nhật bảo mật cho Adobe ColdFusion và Adobe Campaign Classic nhằm khắc phục nhiều lỗ hổng có mức độ nghiêm trọng cao. Theo thông báo, các vấn đề trong ColdFusion có thể dẫn đến arbitrary code execution, privilege escalation, arbitrary file system read và security feature bypass.
Cụ thể, ColdFusion được vá cho 7 lỗ hổng với điểm CVSS 10.0 gồm các nhóm: unrestricted upload tệp nguy hiểm (CVE-2026-48276, CVE-2026-48283), improper input validation (CVE-2026-48277, CVE-2026-48281, CVE-2026-48316), và path traversal (CVE-2026-48282). Ngoài ra còn có các lỗ hổng điểm CVSS 9.3 liên quan path traversal (CVE-2026-48313) và improper input validation (CVE-2026-48315).
Các bản sửa đã có trong ColdFusion 2023 Update 21 và ColdFusion 2025 Update 10. Riêng Adobe Campaign Classic (on-premise) được vá lỗi CVE-2026-48286 (CVSS 10.0) do incorrect authorization, khắc phục trong ACC v7: 7.4.3 build 9397.
Adobe cho biết chưa ghi nhận khai thác “in the wild”. Khuyến nghị: rà soát phiên bản đang dùng và triển khai bản vá tương ứng, ưu tiên các hệ thống on-premise.