A janela de tempo entre o patch e a exploração massiva já fechou. Se a sua organização ainda não atualizou, o ataque pode já estar em andamento. A lista abaixo resume as ações obrigatórias: Atualize imediatamente para ColdFusion 2025 Update 10 ou ColdFusion 2023 Update 21, versões que fecham a CVE-2026-48282. Desabilite o RDS em todos os servidores de produção, se não for estritamente necessário. Se for indispensável, ative a autenticação e restrinja o acesso por IP. Investigue servidores expostos : se a sua instância ficou acessível pela internet na última semana, busque indicadores de comprometimento — arquivos não autorizados dentro do web root e em diretórios /CFIDE/ . Revise logs de acesso procurando requisições HTTP anômalas direcionadas ao RDS, especialmente uploads de arquivos suspeitos. Isole e reconstrua servidores confirmadamente comprometidos. RCE em ColdFusion frequentemente é o ponto de entrada para ransomware. A Adobe recomenda que administradores instalem a atualização o mais rápido possível — idealmente em até 72 horas após a divulgação. Neste caso, 72 horas já passaram há muito tempo. A recomendação agora é tratar como incidente potencial e caçar comprometimento,

ColdFusion: falha CVSS 10 dá acesso total sem senha

Q: Como o ataque funciona na prática?

A vulnerabilidade mora no Remote Development Services (RDS) , um recurso do ColdFusion que permite a uma IDE — historicamente o ColdFusion Builder, o Dreamweaver ou um plugin do Eclipse — interagir com o servidor em execução. Pelo RDS, a IDE consegue navegar pelo sistema de arquivos, executar consultas em banco de dados e auxiliar em debugging, tudo via HTTP. É uma funcionalidade poderosa e, por isso, perigosa quando mal configurada. Segundo a análise técnica da consultoria Resecurity , a falha permite que um atacante não autenticado, na rede, explore o path traversal para gravar um arquivo malicioso num diretório acessível pelo servidor web. Em seguida, basta acessar esse arquivo diretamente pelo navegador para disparar a execução de código no contexto do usuário do ColdFusion — abrindo caminho para assumir o controle total do host. Uma pré-condição precisa estar presente para o ataque dar certo: o RDS precisa estar habilitado e com a autenticação desativada . Por padrão, o ColdFusion vem com o RDS desligado, mas muitos administradores o ativam para facilitar o desenvolvimento e nunca checam se a autenticação está configurada. A recomendação da Adobe e dos pesquisadores é direta:

Q: Quantos servidores estão expostos?

A fundação Shadowserver , que mapeia ativos expostos na internet, passa a rastrear aproximadamente 750 a 800 instâncias do Adobe ColdFusion acessíveis publicamente . Não há informação precisa sobre quantas dessas rodam versões vulneráveis nem quantas têm o RDS habilitado — mas o histórico da plataforma sugere que uma parcela significativa está desatualizada. O ColdFusion é um alvo recorrente justamente porque combina três características que atacantes adoram: presença em infraestrutura corporativa de alto valor, histórico de falhas graves e lentidão cultural na aplicação de patches . Muitas organizações rodam versões antigas por dependência de aplica legadas e não tratam o ColdFusion como prioridade de segurança. Desde novembro de 2021, a CISA já incluiu 79 vulnerabilidades de produtos Adobe no catálogo KEV — dez delas também foram aproveitadas em ataques de ransomware. Para o contexto brasileiro, o ponto de atenção é claro: instituições financeiras, órgãos públicos e universidades que ainda dependem de aplicações ColdFusion legadas correm risco real. Servidores expostos à internet com RDS habilitado são, na prática, portas abertas para execução remota de código sem necessidade de

Resumo da falha crítica

A vulnerabilidade CVE-2026-48282 no Adobe ColdFusion recebeu nota máxima de severidade (CVSS 10.0) e já está sob exploração ativa no mundo inteiro. Trata-se de uma falha de path traversal no serviço de desenvolvimento remoto (RDS) que permite a invasores não autenticados executar código arbitrário em servidores expostos, bastando enviar uma requisição HTTP especialmente manipulada. Menos de duas horas depois da publicação do detalhamento técnico, sondas já capturavam tentativas de invasão reais em honeypots.

Pontos-chave:

Severidade: CVSS 10.0 (máxima), sem necessidade de autenticação, privilégios ou interação do usuário.
Versões afetadas: ColdFusion 2025.9, 2023.20 e anteriores.
Correção disponível: ColdFusion 2025 Update 10 e ColdFusion 2023 Update 21.
Exploração confirmada: detectada em até duas horas após a divulgação da análise técnica.
Superfície de ataque: cerca de 750 a 800 instâncias ColdFusion acessíveis pela internet.
Resposta governamental: CISA incluiu a falha no catálogo KEV em 7 de julho de 2026.

Falha de nota máxima no ColdFusion

O Adobe divulgou os patches em 30 de junho de 2026, corrigindo dez vulnerabilidades críticas no ColdFusion — seis delas de severidade máxima. A mais perigosa é a CVE-2026-48282, classificada com a nota mais alta possível na escala CVSS v3.1: 10,0. O detalhamento no National Vulnerability Database (NVD) a descreve como um path traversal que leva à execução arbitrária de código no contexto do usuário atual.

O ColdFusion é uma plataforma comercial de desenvolvimento de aplicações web usada por bancos, órgãos governamentais, universidades e grandes empresas para construir e hospedar sistemas críticos. Roda normalmente em servidores Windows ou Linux e, quando exposto à internet, vira um alvo de altíssimo valor. A gravidade da falha não vem apenas da nota, mas da combinação de três fatores que a tornam trivial de explorar: não exige autenticação, não exige interação da vítima e tem complexidade baixa.

A pesquisadora de segurança Ryan Dewhurst, fundadora da KEVIntel, capturou tentativas de exploração na rede global de honeypots da empresa quase imediatamente após a publicação pública dos detalhes técnicos. “Em menos de duas horas após os detalhes públicos da CVE-2026-48282 serem divulgados, a KEVIntel capturou exploração em ambiente real na nossa rede global de honeypots”, afirmou Dewhurst, em reportagem do BleepingComputer.

Como o ataque funciona na prática

A vulnerabilidade mora no Remote Development Services (RDS), um recurso do ColdFusion que permite a uma IDE — historicamente o ColdFusion Builder, o Dreamweaver ou um plugin do Eclipse — interagir com o servidor em execução. Pelo RDS, a IDE consegue navegar pelo sistema de arquivos, executar consultas em banco de dados e auxiliar em debugging, tudo via HTTP. É uma funcionalidade poderosa e, por isso, perigosa quando mal configurada.

Segundo a análise técnica da consultoria Resecurity, a falha permite que um atacante não autenticado, na rede, explore o path traversal para gravar um arquivo malicioso num diretório acessível pelo servidor web. Em seguida, basta acessar esse arquivo diretamente pelo navegador para disparar a execução de código no contexto do usuário do ColdFusion — abrindo caminho para assumir o controle total do host.

Uma pré-condição precisa estar presente para o ataque dar certo: o RDS precisa estar habilitado e com a autenticação desativada. Por padrão, o ColdFusion vem com o RDS desligado, mas muitos administradores o ativam para facilitar o desenvolvimento e nunca checam se a autenticação está configurada. A recomendação da Adobe e dos pesquisadores é direta: se você não usa o RDS em produção, desligue-o imediatamente.

Exploração começou em duas horas

O ritmo da exploração é o detalhe mais alarmante desta história. A Adobe liberou os patches no fim de junho. Dois dias depois, em 2 de julho de 2026, a equipe da consultoria watchTowr publicou uma análise técnica detalhada da falha. Minutos depois, a KEVIntel já registrava tentativas de invasão em honeypots espalhados pelo mundo, conforme reportou a Help Net Security.

Isso significa que há um ecossistema de atacantes monitorando ativamente publicações de pesquisadores para transformar prova de conceito em ataque real quase em tempo real. O tempo entre “patch disponível” e “exploração em massa” encolheu para horas, não dias. Qualquer servidor ColdFusion que ficou desatualizado por mais de um fim de semana já estava, na prática, na mira.

Em 7 de julho de 2026, a agência americana CISA adicionou a CVE-2026-48282 ao seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), emitindo a diretiva BOD 26-04. Agências federais civis dos Estados Unidos tiveram prazo até 10 de julho para aplicar o patch ou uma mitigação equivalente. O Centro Canadense de Cibersegurança (CCCS) e o Centre for Cybersecurity Belgium também emitiram alertas oficiais recomendando a atualização imediata.

Quantos servidores estão expostos

A fundação Shadowserver, que mapeia ativos expostos na internet, passa a rastrear aproximadamente 750 a 800 instâncias do Adobe ColdFusion acessíveis publicamente. Não há informação precisa sobre quantas dessas rodam versões vulneráveis nem quantas têm o RDS habilitado — mas o histórico da plataforma sugere que uma parcela significativa está desatualizada.

O ColdFusion é um alvo recorrente justamente porque combina três características que atacantes adoram: presença em infraestrutura corporativa de alto valor, histórico de falhas graves e lentidão cultural na aplicação de patches. Muitas organizações rodam versões antigas por dependência de aplica legadas e não tratam o ColdFusion como prioridade de segurança. Desde novembro de 2021, a CISA já incluiu 79 vulnerabilidades de produtos Adobe no catálogo KEV — dez delas também foram aproveitadas em ataques de ransomware.

Para o contexto brasileiro, o ponto de atenção é claro: instituições financeiras, órgãos públicos e universidades que ainda dependem de aplicações ColdFusion legadas correm risco real. Servidores expostos à internet com RDS habilitado são, na prática, portas abertas para execução remota de código sem necessidade de senha.

O que fazer agora

A janela de tempo entre o patch e a exploração massiva já fechou. Se a sua organização ainda não atualizou, o ataque pode já estar em andamento. A lista abaixo resume as ações obrigatórias:

Atualize imediatamente para ColdFusion 2025 Update 10 ou ColdFusion 2023 Update 21, versões que fecham a CVE-2026-48282.
Desabilite o RDS em todos os servidores de produção, se não for estritamente necessário. Se for indispensável, ative a autenticação e restrinja o acesso por IP.
Investigue servidores expostos: se a sua instância ficou acessível pela internet na última semana, busque indicadores de comprometimento — arquivos não autorizados dentro do web root e em diretórios /CFIDE/.
Revise logs de acesso procurando requisições HTTP anômalas direcionadas ao RDS, especialmente uploads de arquivos suspeitos.
Isole e reconstrua servidores confirmadamente comprometidos. RCE em ColdFusion frequentemente é o ponto de entrada para ransomware.

A Adobe recomenda que administradores instalem a atualização o mais rápido possível — idealmente em até 72 horas após a divulgação. Neste caso, 72 horas já passaram há muito tempo. A recomendação agora é tratar como incidente potencial e caçar comprometimento, não apenas aplicar o patch.

Por que ColdFusion é alvo

Há um padrão que se repete todo ano: a Adobe corrige falhas máximas no ColdFusion, pesquisadores publicam detalhes técnicos, atacantes transformam o conhecimento em exploit em questão de horas e servidores desatualizados caem. Em abril de 2026, a empresa já havia emitido uma correção de emergência para uma vulnerabilidade do Acrobat Reader (CVE-2026-34621) explorada em ataques zero-day por pelo menos quatro meses, desde dezembro de 2025.

O problema estrutural não é a qualidade dos patches da Adobe — que saem rápido. É a cultura de manutenção. ColdFusion costuma rodar em sistemas legados, mantidos por equipes pequenas, em organizações que não priorizam a plataforma na rotina de segurança. Resultado: o tempo médio de aplicação de patches é medido em meses, enquanto o tempo médio de exploração é medido em horas.

Para equipes de segurança no Brasil, a lição é tratar ColdFusion como ativo crítico de infraestrutura, não como peça esquecida do inventário. Monitorar exposição, manter inventário de versões atualizado e automatizar a aplicação de patches são medidas que reduzem drasticamente a janela de risco. Ignorar essa realidade significa, na prática, deixar a porta aberta para quem já está testando exploits em honeypots antes mesmo do patch esfriar.

Referências

BleepingComputer — Max severity Adobe ColdFusion flaw now exploited in attacks: bleepingcomputer.com
Help Net Security — Attackers exploit critical Adobe ColdFusion vulnerability (CVE-2026-48282): helpnetsecurity.com
NVD (NIST) — CVE-2026-48282 Detail: nvd.nist.gov
Resecurity — CVE-2026-48282: Adobe ColdFusion RDS Path Traversal Leading to RCE: resecurity.com
CISA — Known Exploited Vulnerabilities Catalog: cisa.gov
Shadowserver Foundation — Mapeamento de ativos expostos: shadowserver.org