ЗАГОЛОВОЧНЫЙ БЛОК

Введение

В декабре 2026 года в официальном реестре CVE Project (cvelistV5) опубликована информация об уязвимости CVE-2026-106618, затрагивающей платформу Adobe ColdFusion. Проблема относится к классу Incorrect Authorization (CWE-863) — некорректная проверка прав доступа, позволяющая обойти ограничения безопасности. Уязвимость получила оценку CVSS 8.8, что соответствует высокому уровню критичности.

Подробности

Уязвимости подвержены следующие версии продукта:

• Adobe ColdFusion 2025;
• Adobe ColdFusion 2023.

Тип уязвимости — Incorrect Authorization (CWE-863). Согласно описанию, ошибка в механизме авторизации позволяет низкопривилегированному атакующему выполнить произвольный код в контексте текущего пользователя. Ключевая опасность заключается в том, что эксплуатация не требует взаимодействия с пользователем (no user interaction) — то есть жертве не нужно открывать файл или переходить по ссылке. Дополнительно указано, что Scope изменён (Scope is changed), а это означает, что успешная эксплуатация может затронуть компоненты за пределами уязвимого сервиса — например, повлиять на операционную систему или смежные приложения на том же хосте.

Оценка CVSS 8.8 (HIGH) отражает высокий потенциал воздействия: атакующий с минимальными правами способен получить контроль над выполнением кода на сервере ColdFusion. Поскольку ColdFusion часто используется для корпоративных веб-приложений и интеграционных решений, компрометация сервера может привести к утечке данных, внедрению вредоносного кода и дальнейшему горизонтальному перемещению по сети.

Что делать

Рекомендации для администраторов и специалистов по безопасности:

• Проверить наличие обновлений безопасности от Adobe для ColdFusion 2025 и 2023 и установить их в приоритетном порядке. Производитель обычно выпускает патчи в рамках внеплановых бюллетеней безопасности.
• Если немедленное обновление невозможно, рассмотреть временные митигации: ограничить сетевой доступ к интерфейсу администратора ColdFusion, развернуть WAF с правилами для блокировки подозрительных запросов, а также усилить мониторинг журналов на предмет аномальной активности.
• Провести аудит учётных записей с низкими привилегиями и убедиться, что они не имеют избыточных прав на выполнение серверных операций.
• В случае подозрения на эксплуатацию — изолировать сервер, сохранить логи и провести расследование инцидента.

Итог

CVE-2026-106618 — серьёзная уязвимость в Adobe ColdFusion, позволяющая низкопривилегированному атакующему выполнить произвольный код без участия пользователя. Учитывая высокий CVSS-балл и изменённый Scope, организациям, использующим ColdFusion 2025 или 2023, следует незамедлительно применить обновления и проверить конфигурацию безопасности серверов.

Источник: CVE Project (cvelistV5)