CVE-2026-34634: SSRF-уязвимость в Adobe ColdFusion с повышением привилегий

В начале 2026 года в списке CVE была опубликована информация об уязвимости CVE-2026-34634, затрагивающей платформу Adobe ColdFusion — популярную среду разработки и выполнения веб-приложений на языке CFML, широко используемую в корпоративной среде для создания внутренних сервисов, интеграционных шин и клиентских порталов.

Подробности

Уязвимость относится к классу Server-Side Request Forgery (SSRF, CWE-918). По описанию CVE Project, проблема «может привести к повышению привилегий». Это означает, что атакующий, способный инициировать серверный запрос через уязвимый компонент ColdFusion, может получить доступ к внутренним ресурсам, обойти сетевые ограничения или выполнить действия с более высокими правами, чем предполагалось изначально.

Затронуты следующие версии продукта:

• Adobe ColdFusion 2025;
• Adobe ColdFusion 2023.

Уязвимости присвоен базовый балл CVSS 8.6, что соответствует высокому уровню критичности (HIGH). Дополнительно указано, что эксплуатация не требует взаимодействия с пользователем (User Interaction: None), а также отмечено изменение области действия (Scope: Changed). Последнее означает, что результатом эксплуатации может стать компрометация компонентов, выходящих за пределы уязвимого сервиса, — например, связанных внутренних систем, доступных только с сервера ColdFusion.

Из записи CVE не следует, что требуется аутентификация для эксплуатации: уязвимость доступна по сети и может использоваться дистанционно. Отсутствие необходимости в действиях пользователя существенно повышает риск, поскольку снижает требования к векторам атаки.

Что делать

Основная рекомендация — как можно быстрее обновить Adobe ColdFusion до актуальной версии, в которой устранена проблема. Следует проверить официальные бюллетени безопасности Adobe для версий 2023 и 2025 и применить доступные патчи.

Если немедленное обновление невозможно, целесообразно применить временные меры:

• ограничить исходящий сетевой трафик с серверов ColdFusion на уровне межсетевого экрана и правил сегментации, разрешив только доверенные направления;
• заблокировать доступ к внутренним сервисам, метаданным облачных платформ и административным интерфейсам из периметра ColdFusion;
• усилить мониторинг подозрительных исходящих запросов, аномалий в логах приложений и обращений к внутренним адресам;
• проверить конфигурацию прав доступа сервисной учётной записи ColdFusion и по возможности снизить её привилегии (принцип наименьших привилегий).

Также рекомендуется провести ревизию внешних интеграций и внутренних обработчиков, которые принимают URL или адреса от пользователя, и внедрить строгую валидацию параметров с белыми списками допустимых хостов.

Уязвимость CVE-2026-34634 представляет серьёзный риск для организаций, использующих Adobe ColdFusion 2023 и 2025 в публично доступных или связанных с внутренней инфраструктурой сценариях. Высокий балл CVSS, отсутствие требования к взаимодействию с пользователем и изменённая область действия делают эту проблему приоритетной для устранения. Наиболее надёжная защита — своевременная установка обновлений; до их применения следует ограничить сетевую активность серверов ColdFusion и усилить контроль исходящих запросов.

Источник: CVE Project (cvelistV5)