В мире уязвимостей есть свои «Золотые часы» — промежуток между выходом патча и началом массовой эксплуатации. Обычно у администраторов есть хотя бы несколько дней, чтобы перевести дух. Но 30 июня 2026 года этот негласный стандарт был жестоко нарушен. Технические детали критической бреши в Adobe ColdFusion попали в открытый доступ, и счет пошел на минуты. Специалисты из KEVIntel зафиксировали первые атаки менее чем через 120 минут после публикации — как будто злоумышленники только и ждали этого сигнала.
Проблема получила индекс CVE-2026-48282 и максимальный рейтинг опасности 10.0 по шкале CVSS. Это не просто «дыра» в коде — это комбинация ошибок, позволяющая хакеру обойти аутентификацию, как будто он является системным администратором. Уязвимость дает возможность читать и записывать любые файлы на сервере, а затем удаленно выполнять вредоносный код. По сути, атакующий получает полный контроль над машиной.
Под ударом оказались все актуальные ветки продукта: ColdFusion 2025 (с обновлением 9 и младше) и ColdFusion 2023 (с обновлением 20 и младше). Это тысячи корпоративных порталов, государственных сайтов и внутренних систем.
Adobe выпустила «супер-патч», закрывающий сразу 11 уязвимостей, 6 из которых имели статус критических. Изначально компания заявила, что не видит признаков эксплуатации CVE-2026-48282 в дикой природе. Однако история быстро опровергла этот оптимизм.
Спустя всего несколько часов после выхода бюллетеня KEVIntel перехватила подозрительный трафик с IP-адресом, приписываемым Индии. Этот сервер методично сканировал и атаковал потенциальные цели, используя свежеопубликованный эксплойт. Позже к предупреждениям присоединился Канадский центр кибербезопасности, официально подтвердив, что уязвимость уже активно используется в реальных операциях.
По данным мониторингового сервиса Shadowserver, в глобальной сети на данный момент доступны около 800 серверов под управлением Adobe ColdFusion. Это лишь те, кто «светится» в интернете. Сколько из них уже взломано, а сколько представляют собой «ловушки» (honeypots) — остается загадкой. Ясно одно: каждая восьмая из этих машин потенциально находится в зоне поражения, если администратор не успел установить апдейт.
Adobe призывает не откладывать обновление ни на день. Спасательным кругом служат версии:
- ColdFusion 2025: Установить обновление 10.
- ColdFusion 2023: Установить обновление 21.
Однако разработчики также акцентируют внимание на «тихой» защите: необходимо обновить коннектор Java для MySQL до последней версии и перепроверить настройки фильтрации сериализации. Это снизит риск атак, даже если патч по каким-то причинам нельзя накатить мгновенно.
История с CVE-2026-48282 — это звонок для всех DevOps и инженеров безопасности. Скорость реакции злоумышленников сегодня такова, что промедление с установкой обновлений равносильно приглашению ворваться в собственный сервер.
