Adobe ColdFusion : plusieurs failles de sécurité critiques (CVE-2026-48316, CVE-2026-48282)
Ce texte a été généré par l'intelligence artificielle (IA).Mise à jour du 8 juillet 2026 : L'Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA) a ajouté la vulnérabilité CVE-2026-48282 à son catalogue des vulnérabilités connues exploitées et met en garde contre son exploitation active sur le réseau. Voir ci-dessous pour plus de détails.
Le 30 juin 2026, Adobe a publié, dans le cadre de son bulletin de sécurité, APSB26-68 Détails concernant plusieurs failles critiques dans Adobe ColdFusion. Les éléments désignés comme CVE-2026-48316 et CVE-2026-48282 Les failles classifiées ont chacune reçu le niveau de gravité maximal de CVSS 10.0 évaluées. Elles permettent à des pirates d'exécuter du code arbitraire (Remote Code Execution, RCE) sur les serveurs concernés, sans qu'aucune authentification ni interaction de l'utilisateur ne soit nécessaire.
Le bulletin APSB26-68 recense au total 11 CVE, dont 6 atteignent le score CVSS maximal de 10,0. Pour une hiérarchisation complète des correctifs, il est recommandé de consulter le Bulletins de sécurité Adobe APSB26-68.
Les faits en bref :
Identifiants CVE : CVE-2026-48316, CVE-2026-48282
Niveau de gravité : CVSS 10.0 (Critique)
Logiciels concernés : Adobe ColdFusion 2023 (mise à jour 20 et antérieures), 2025 (mise à jour 9 et antérieures)
Patch : Disponible dans ColdFusion 2023, mise à jour 21, et 2025, mise à jour 10
Exploitation active : Selon la CISA, la vulnérabilité CVE-2026-48282 fait actuellement l'objet d'attaques actives
Recommandation : Installation des mises à jour de priorité 1 (dans un délai de 72 heures pour les systèmes exposés)
Analyse technique : CVE-2026-48316
La cause de CVE-2026-48316 une validation insuffisante des données saisies (CWE-20 : Validation incorrecte des données d'entrée) dans un composant central d'Adobe ColdFusion. Un attaquant peut envoyer, via le réseau, une requête spécialement conçue à un serveur vulnérable et ainsi exécuter du code dans le contexte de sécurité de l'utilisateur exécutant.
Le vecteur CVSS AV : N/AC : L/PR : N/UI : N/S : C illustre bien le risque élevé :
Vecteur d'attaque : Réseau (AV:N) : Cette faille peut être exploitée à distance via le réseau.
Complexité de l'attaque : Faible (AC : F) : Aucune condition préalable complexe n'est nécessaire pour qu'une attaque aboutisse.
Privilèges requis : Aucun (PR : N) : L'attaquant n'a besoin ni d'identifiants de connexion ni d'autorisations existantes.
Interaction utilisateur : Aucune (UI:N) : Aucune action de la part de l'utilisateur (par exemple, un clic sur un lien) n'est nécessaire.
Portée : Modifiée (S:C) : Une attaque réussie peut contourner les mesures de sécurité de l'application et permettre potentiellement de prendre le contrôle du système sous-jacent.
À la date de publication du correctif, le 30 juin 2026, Adobe n'avait, selon ses propres déclarations, aucune information indiquant que la vulnérabilité CVE-2026-48316 faisait l'objet d'une exploitation active.
CVE-2026-48282 il s'agit d'une vulnérabilité de type « path traversal » (CWE-22) dans les Remote Development Services (RDS) d'Adobe ColdFusion. Une seule requête HTTP spécialement conçue et non authentifiée adressée à une interface RDS accessible suffit pour permettre l'exécution de code à distance. Cette vulnérabilité est classée au niveau de gravité maximal CVSS 10.0 évalué (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H).
Selon un rapport mis à jour de The Hacker News (au 3 juillet 2026), la vulnérabilité CVE-2026-48282 a entre-temps fait l'objet d'exploits actifs sur le réseau. L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté cette vulnérabilité à son catalogue des vulnérabilités connues pour être exploitées (KEV). Cela souligne le danger immédiat : les pirates disposent d'exploits fonctionnels et les utilisent de manière ciblée contre des instances ColdFusion non corrigées.
La combinaison d'une gravité maximale, d'une facilité d'exploitation et d'une exploitation active confirmée fait de CVE-2026-48282 l'une des menaces les plus urgentes pour les serveurs ColdFusion exposés.
Systèmes concernés et évaluation des risques
Ces failles de sécurité concernent les versions suivantes de cette plateforme très répandue pour les applications web :
Adobe ColdFusion 2025 : Mise à jour 9 et toutes les versions antérieures
Adobe ColdFusion 2023 : Mise à jour 20 et toutes les versions antérieures
Adobe attribue à toutes les vulnérabilités mentionnées le niveau d'urgence le plus élevé. Le „ Priority Rating 1 » constitue une recommandation claire de mettre à jour les systèmes connectés à Internet dans un délai de 72 heures. Tout serveur ColdFusion accessible au public et non corrigé représente un risque de sécurité considérable. L'exploitation active confirmée de la vulnérabilité CVE-2026-48282 renforce encore davantage l'urgence de la situation.
Mesures recommandées et informations sur les correctifs
Les entreprises doivent agir sans délai pour protéger leurs systèmes. Les mesures suivantes sont recommandées :
Mesures d'urgence
Installer les correctifs : Mettez à jour vos instances vers les versions corrigées fournies par Adobe :
Adobe ColdFusion 2025, mise à jour 10
Adobe ColdFusion 2023, mise à jour 21
Hiérarchisation : Identifiez et classez par ordre de priorité tous les serveurs ColdFusion accessibles depuis l'extérieur afin de les mettre à jour immédiatement. Compte tenu de l'exploitation active de la vulnérabilité CVE-2026-48282, l'installation des correctifs doit être effectuée sans délai.
Mesures à court terme
Vérifier les dépendances : Assurez-vous que le connecteur Java MySQL utilisé ainsi que la version JDK/JRE à support à long terme sous-jacente sont à jour.
Valider la configuration : Appliquez les recommandations du „ ColdFusion Security Configuration and Lockdown Guide “ officiel d'Adobe afin de réduire la surface d'attaque.
Préparer la réponse aux incidents : Vérifiez si vos systèmes présentent des signes de compromission, en particulier s'ils ont été exposés avant l'installation du correctif.
Mesures à long terme
Mettre en place un suivi : Mettez en place une gestion continue des vulnérabilités et des risques liés aux fournisseurs (Vendor Risk Management) afin de pouvoir réagir de manière structurée aux menaces futures.
Pertinence pour la région DACH et l'UE
Les entreprises et les administrations publiques des pays germanophones qui utilisent Adobe ColdFusion dans le cadre de services essentiels ou importants sont soumises aux exigences de la Directive NIS 2 concernés. L'article 21 de la directive NIS-2 oblige les opérateurs concernés à remédier sans délai aux vulnérabilités critiques et à mettre en place des mesures de protection techniques appropriées. Si l'exploitation de ces vulnérabilités entraîne un incident de sécurité ayant des répercussions sur les données à caractère personnel, la Obligation de notification prévue à l'article 33 du RGPD: Les responsables doivent informer l'autorité de contrôle compétente dans les 72 heures suivant la prise de connaissance de l'incident. Les exploitants d'infrastructures critiques (KRITIS) devraient en outre tenir compte des recommandations pertinentes du BSI concernant le renforcement de la sécurité des composants exposés des serveurs web.
L'ajout de la vulnérabilité CVE-2026-48282 au catalogue KEV de la CISA souligne l'importance internationale de cette menace. Même si la CISA est une agence américaine, les vulnérabilités qui y sont répertoriées sont régulièrement exploitées par des pirates informatiques du monde entier.
Comment LocateRisk vous aide à vous protéger
Des failles telles que CVE-2026-48316 et CVE-2026-48282 soulignent la nécessité de surveiller en permanence sa propre surface d'exposition aux attaques externes. Ce sont souvent les systèmes oubliés ou non documentés (Shadow IT) qui représentent le plus grand risque : les instances ColdFusion, qui avaient été mises en place pour un projet, ne sont plus activement maintenues mais restent néanmoins accessibles depuis Internet ; elles n’apparaissent dans aucun inventaire interne et échappent donc au processus manuel d’application des correctifs.
Une solution de gestion de la surface d'attaque externe (EASM) telle que LocateRisk identifie automatiquement tous les actifs informatiques de votre entreprise accessibles depuis l'extérieur. Les services tels qu'Adobe ColdFusion sont identifiés grâce à l'empreinte digitale des en-têtes HTTP et à des chemins d'accès spécifiques aux fichiers (par exemple,. /CFIDE/) et d'autres caractéristiques. Les responsables informatiques disposent ainsi d'une vue d'ensemble rapide des instances potentiellement vulnérables en service et peuvent réduire considérablement le temps de réaction.
En complément, un système automatisé permet de Gestion du risque vendeur, d'évaluer la situation en matière de sécurité des prestataires de services et des fournisseurs de logiciels susceptibles d'utiliser également ColdFusion. La plateforme LocateRisk est hébergée dans des centres de données allemands certifiés et est conçue pour fonctionner conformément aux exigences du RGPD. Elle aide ainsi les entreprises à sécuriser leur infrastructure informatique selon des normes telles que la « IT-Grundschutz » du BSI.
Exploitation active de la vulnérabilité CVE-2026-48282 (The Hacker News, mis à jour le 3 juillet 2026) :thehackernews.com
Connaissez-vous votre surface d'attaque externe ?
Les systèmes exposés et non mis à jour constituent l'une des causes les plus fréquentes de cyberattaques réussies. LocateRisk offre une vue d'ensemble en continu de vos systèmes informatiques externes et identifie les risques de sécurité avant qu'ils ne deviennent un problème.
Les versions concernées sont Adobe ColdFusion 2025 jusqu'à la mise à jour 9 incluse, ainsi qu'Adobe ColdFusion 2023 jusqu'à la mise à jour 20 incluse. Les versions plus anciennes, qui ne sont plus prises en charge, sont également potentiellement vulnérables.
Adobe a classé toutes les vulnérabilités mentionnées comme présentant la priorité la plus élevée (Priorité 1). Les administrateurs de systèmes accessibles au public doivent installer cette mise à jour dans les 72 heures. Compte tenu de l'exploitation active confirmée de la vulnérabilité CVE-2026-48282, il est vivement recommandé de procéder à une installation immédiate, sans délai.
Oui. Selon la CISA, la vulnérabilité CVE-2026-48282 fait actuellement l'objet d'exploits actifs sur le réseau et a été ajoutée au catalogue des vulnérabilités connues pour être exploitées (Known Exploited Vulnerabilities Catalog). En ce qui concerne la deuxième faille ColdFusion, CVE-2026-48316, aucune information n'était disponible concernant une exploitation active au moment de la publication du correctif, le 30 juin 2026.
Vérification rapide CVE
Vérifiez en quelques minutes si votre surface d'attaque visible depuis l'extérieur présente des indices liés à une vulnérabilité CVE actuelle.
Une estimation approximative en quelques minutes par e-mail.
Pour en savoir plus, contactez gratuitement un consultant LocateRisk.
Vous recevrez cela par e-mail
EntreprisesVotre société GmbH
CVE vérifiésCVE-2024-3094
Évaluation passive
Remarques concernant le CVEIndications trouvées
En savoir plus, réserver une démo ou simplement échanger quelques mots ? Nous nous en réjouissons !
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Toujours activé
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English