Bulletins de Sécurité

Une vulnérabilité critique de type exécution de code arbitraire affectant la solution Adobe ColdFusion a été publiée par l'éditeur Adobe le 9 juin 2026 dans le cadre du Patch Tuesday de juin 2026. La découverte est créditée au chercheur en sécurité AnirudhAnand (a0xnirudh).

Le niveau de criticité de cette vulnérabilité est de 9.6 (score CVSSv3.1).

Adobe ColdFusion est une plateforme de développement et d'hébergement d'applications web d'entreprise, fréquemment utilisée pour exposer des interfaces métiers, des portails clients ou des services internes sur Internet.

CVE-2026-47928 : Une vulnérabilité de validation incorrecte des entrées dans Adobe ColdFusion permet à un attaquant distant non authentifié d'exécuter du code arbitraire sur le serveur dans le contexte de l'utilisateur courant. L'exploitation ne requiert aucune interaction utilisateur.

Une fois la vulnérabilité exploitée, l'attaquant peut déposer des webshells persistants, accéder aux fichiers et données hébergés sur le serveur, pivoter vers les systèmes internes accessibles depuis celui-ci ou exfiltrer des données sensibles.

A l'heure actuelle, Adobe indique ne pas avoir connaissance d'exploitation active dans la nature. Cependant, l'historique de ColdFusion sur des vulnérabilités similaires démontre une exploitation massive dans les jours suivant leur publication.

Étant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre pour tout serveur ColdFusion exposé sur Internet.