最高严重级别的 Adobe ColdFusion 漏洞现已在攻击中被利用

根据漏洞情报公司 KEVIntel 的消息，攻击者现在正在利用一个最高严重级别的 Adobe ColdFusion 漏洞，编号为 CVE-2026-48282。
ColdFusion 是一个商业 Web 应用开发平台，旨在帮助构建和部署企业级网站。CVE-2026-48282 安全漏洞影响 ColdFusion 版本 2025.9、2023.20 及更早版本，攻击者可在无需权限的情况下利用该漏洞在未修补系统上实现远程代码执行。
Adobe 于周二发布安全更新以修复该漏洞，称其存在较高的被利用风险，并敦促管理员立即部署补丁。
Adobe 指出："此更新解决了针对特定产品版本和平台，已被野外利用或具有较高被利用风险的漏洞。Adobe 建议管理员尽快安装更新（例如，在 72 小时内）。"
两天后，KEVIntel 创始人 Ryan Dewhurst 警告称，威胁行为者在 Adobe 披露后的两小时内便开始利用 CVE-2026-48282。
Dewhurst 表示："在 CVE-2026-48282 的公开细节发布后不到两小时内，KEVIntel 就在我们的全球蜜罐网络中捕获到了野外利用行为。"
加拿大网络安全中心，即协调该国网络安全事件国家响应的加拿大政府机构，也敦促防御者保护其系统免受持续攻击。
CCCS 表示："开源报告表明 CVE-2026-48282 正在被利用。网络安全中心鼓励用户和管理员查看提供的网络链接并应用必要的更新。"
互联网安全监督机构 Shadowserver 目前追踪到近 800 个在线暴露的 Adobe ColdFusion 实例，但没有关于其中有多少是蜜罐或已针对利用 CVE-2026-48282 漏洞的攻击进行防护的信息。
在线暴露的 Adobe ColdFusion 实例
上周，Adobe 为 ColdFusion Web 应用开发和 Campaign Classic 营销自动化平台中的六个最高严重级别漏洞发布了补丁，所有这些漏洞均可通过低复杂度的攻击利用，无需用户交互，并被标记为具有较高的被攻击风险。
该公司尚未将其中任何一个标记为已被积极利用，称其"未意识到这些更新解决的任何问题存在野外利用"。
4 月初，Adobe 还发布了紧急更新，以修复一个 Acrobat Reader 漏洞（CVE-2026-34621），该漏洞自 2025 年 12 月以来已在零日攻击中被利用了至少四个月。
自 2021 年 11 月以来，美国网络安全和基础设施安全局已在其积极利用漏洞目录中收录了 79 个 Adobe 产品中的漏洞，其中 10 个也被用于勒索软件攻击。
7月6日更新，美国东部时间10:24：将首次野外利用报告的归属修改为 KEVIntel 的 Ryan Dewhurst。