Adobe corrige des failles critiques dans ColdFusion et Campaign Classic
Adobe a déployé en urgence des correctifs de sécurité pour ColdFusion et Campaign Classic après la découverte par des chercheurs de sept vulnérabilités de niveau maximal—chacune notée 10.0 sur l’échelle CVSS—pouvant permettre aux attaquants d’exécuter du code arbitraire, d’élever leurs privilèges, de lire des fichiers sensibles ou de contourner les protections de sécurité.
Un cycle de correctifs chargé pour les outils d’entreprise
Les mises à jour concernent ColdFusion 2023 Update 21 et ColdFusion 2025 Update 10, corrigeant des lacunes de validation des entrées, des problèmes de traversée de chemin et des failles d’upload exploitables sans authentification. Campaign Classic a également reçu une mise à jour pour une faille critique d’autorisation identifiée sous le nom de CVE-2026-48286. Adobe précise que ses instances hébergées ne sont pas touchées, limitant l’exposition aux déploiements locaux exécutant la version 7.4.3 build 9396 ou antérieure.
Des chercheurs remerciés alors qu’Adobe souligne son approche proactive
Les équipes de sécurité d’Anirudh Anand, Matan Sandori et 2Bsecure ont contribué aux découvertes désormais résolues par Adobe. L’entreprise a remercié les chercheurs et insisté sur l’absence d’exploitation active observée dans la nature. « Adobe n’a connaissance d’aucun exploit en cours d’utilisation pour les failles corrigées dans ces mises à jour », indique l’avis.
Source : Security Affairs. Synthèse éditoriale assistée par IA — TechnoExpress.