Bulletins de Sécurité

Un ensemble de vulnérabilités critiques affectant Adobe ColdFusion 2025 et 2023 a été publié par Adobe le 30 juin 2026 dans le cadre du bulletin APSB26-68.

Le niveau de criticité initial de ce lot atteint 10.0 (score CVSSv3.1) pour six des sept vulnérabilités couvertes ci-dessous.

Adobe ColdFusion est une plateforme de développement et d'hébergement d'applications web d'entreprise, fréquemment utilisée pour exposer des interfaces métiers, des portails clients ou des services internes sur Internet.

• CVE-2026-48276 et CVE-2026-48283 : Une vulnérabilité de type upload de fichier sans restriction de type dans ColdFusion pourrait permettre à un attaquant distant non authentifié de déposer puis d'exécuter un fichier arbitraire sur le serveur. L'attaquant n'a besoin d'aucun identifiant ni interaction de la victime pour exploiter cette vulnérabilité.

• CVE-2026-48277, CVE-2026-48281 et CVE-2026-48316 : Des vulnérabilités de validation d'entrée insuffisante dans ColdFusion pourraient permettre à un attaquant distant non authentifié d'exécuter du code arbitraire sur le serveur.

• CVE-2026-48282 : Une vulnérabilité de traversée de répertoire dans ColdFusion pourrait permettre à un attaquant distant non authentifié d'accéder à des fichiers hors du répertoire prévu et d'obtenir l'exécution de code arbitraire sur le serveur.

• CVE-2026-48313 : Une vulnérabilité de traversée de répertoire dans ColdFusion pourrait permettre à un attaquant distant non authentifié de lire des fichiers arbitraires sur le système, sans nécessiter d'identifiants.

Une fois l'une de ces vulnérabilités exploitée, l'attaquant pourra ainsi prendre le contrôle d’un serveur portant la solution ColdFusion et interagir avec les applications et données qu'il héberge.

A l'heure actuelle, Adobe indique ne pas avoir connaissance d'exploitation active dans la nature. Cependant, l'historique de ColdFusion sur des vulnérabilités similaires démontre une exploitation massive dans les jours suivant leur publication.

Étant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre pour tout serveur ColdFusion exposé sur Internet.