Adobe phát hành bản vá cho 7 lỗ hổng mức độ nghiêm trọng cao ở ColdFusion và Campaign Classic
"Adobe released security updates for seven maximum-severity vulnerabilities in ColdFusion and Campaign Classic. The issues include multiple unauthenticated remote code execution flaws in ColdFusion (CVE-2026-48276, CVE-2026-48277, CVE-2026-48281, CVE-2026-48316, CVE-2026-48282) affecting ColdFusion 2025.9 and 2023.20 and earlier, plus an arbitrary code execution flaw in Campaign Classic (CVE-2026-48286) affecting on-premises versions 7.4.3 build 9396 and earlier; Adobe advises immediate patching and says no in-the-wild exploitation is known."
Rủi ro cao do nhiều lỗ hổng có thể bị khai thác không cần tương tác để đạt thực thi mã từ xa; đặc biệt nghiêm trọng với ColdFusion và CVE-2026-48286 trên môi trường on-premises.
Nếu không vá kịp thời, hệ thống có thể bị ảnh hưởng bởi chiếm quyền/điều khiển mã và gián đoạn dịch vụ; phạm vi on-premises của Campaign Classic làm tăng rủi ro cho các tổ chức phụ thuộc vào triển khai nội bộ.
Adobe đã phát hành bản cập nhật bảo mật cho 7 lỗ hổng mức độ tối đa trong nền tảng phát triển web ColdFusion và hệ thống tự động hóa marketing Campaign Classic. Theo thông tin từ hãng, các vấn đề này có thể bị khai thác trong các kịch bản tấn công không cần tương tác người dùng và được gắn mức ưu tiên priority 1 (rủi ro cao có khả năng bị nhắm mục tiêu).
Với ColdFusion, có 5 CVE gồm CVE-2026-48276, CVE-2026-48277, CVE-2026-48281, CVE-2026-48316, CVE-2026-48282. Các lỗi ảnh hưởng ColdFusion 2025.9, 2023.20 và các phiên bản trước, cho phép kẻ tấn công thực thi mã từ xa mà không cần quyền.
Với Campaign Classic, lỗ hổng mức độ tối đa CVE-2026-48286 ảnh hưởng on-premises (bao gồm triển khai hoàn toàn on-premises và thành phần on-premises trong mô hình hybrid) trên phiên bản 7.4.3 build 9396 và sớm hơn, có thể dẫn đến thực thi mã tùy ý trong ngữ cảnh người dùng hiện tại.
Adobe cho biết chưa ghi nhận khai thác ngoài thực tế đối với các vấn đề trong bản cập nhật này và khuyến nghị quản trị viên triển khai vá càng sớm càng tốt (ví dụ trong 72 giờ). Ngoài ra, từ 14/07/2026, hãng chuyển sang lịch phát hành bulletin/advisory bảo mật 2 lần mỗi tháng; quy trình phản hồi ngoài lịch vẫn áp dụng cho lỗ hổng đang bị khai thác hoặc zero-day được phát hiện từ bên ngoài.