文章总结： AdobeColdFusion高危漏洞CVE-2026-48282（CVSS10.0）已被攻击者利用，影响ColdFusion2025Update9及之前版本和2023Update20及之前版本。Adobe已于2026年6月30日发布安全更新APSB26-68。企业应尽快拉取资产清单、升级至建议版本，并加强日志审查与网络隔离，避免老系统成为攻击跳板。 综合评分： 89 文章分类： 漏洞分析,应急响应

ColdFusion 高危漏洞被利用：老牌 Web 平台，不能再靠“低调运行”避险

原创

tcode tcode

字节脉搏实验室

2026年7月7日 10:53 北京

在小说阅读器读本章

去阅读

    过去 24 小时，Adobe ColdFusion 再次进入安全团队的优先级清单。

    BleepingComputer 在 2026 年 7 月 6 日报道称，攻击者正在利用 Adobe ColdFusion 的高危漏洞 CVE-2026-48282。Adobe 官方安全公告 APSB26-68 已在 2026 年 6 月 30 日发布更新，涉及 ColdFusion 2025 与 2023，多项漏洞可能导致任意代码执行、权限提升、任意文件系统读取和安全功能绕过。NHS England National CSOC 也发布提醒，建议受影响组织尽快参考 Adobe 公告完成更新。

    ColdFusion 并不是新潮系统，但在政府、教育、制造、金融和传统企业内部业务平台中仍有长期部署。它的风险不在于“名字老”，而在于很多实例跑了多年，承载关键流程，却不一定仍在资产台账和补丁例会的中心位置。

核心事实

    CVE-2026-48282 被 Adobe 列为 Critical，CVSS 3.1 基础分 10.0，影响 ColdFusion 2025 Update 9 及之前版本、ColdFusion 2023 Update 20 及之前版本。Adobe 建议升级到 ColdFusion 2025 Update 10 或 ColdFusion 2023 Update 21。

    公开报道显示，已有漏洞情报机构观察到该漏洞被利用。Adobe 原始公告发布时写明“不知晓在野利用”，但后续情报发生变化，这是漏洞治理里很常见的一幕：补丁公告发布后，公开研究、扫描活动和利用尝试可能迅速跟上。

    本文不展开漏洞触发条件、请求路径、复现步骤或攻击载荷。对防守者来说，重点是确认系统是否受影响、是否暴露到不必要网络区域、是否启用了高风险功能、是否有异常文件操作、异常进程或异常出站行为。

影响分析

    ColdFusion 这类平台的真实风险，往往不是单点代码缺陷，而是“历史系统 + 高权限运行 + 低频维护”的组合。

    很多企业的 ColdFusion 站点承载后台管理、表单流程、报表系统、数据交换和老业务接口。它们可能连接数据库、共享目录、邮件系统、身份组件和内网服务。一旦服务器被拿下，攻击者看到的不是一个网页，而是一个能继续深入业务环境的跳板。

    这类漏洞还有一个管理层面的问题：越是老系统，越容易没人敢动。补丁怕影响业务，升级怕兼容性，重构没有预算，于是系统长期维持在“能用就行”的状态。攻击者不会因为系统老就忽略它，相反，老系统经常意味着监控、分段和应急预案更薄弱。

企业应对建议

    第一，拉出 ColdFusion 资产清单。包括生产、测试、灾备、迁移残留、外包维护和历史域名指向的实例。不要只查当前 CMDB，也要从端口扫描、WAF、负载均衡和证书记录反向核对。

    第二，尽快升级到 Adobe 建议版本。不能马上升级的系统，应进入临时风险控制状态：限制访问来源、减少外网暴露、关闭不必要功能、加强 WAF 和主机监控。

    第三，复核开发调试与管理能力。对生产环境来说，开发调试、远程管理、文件操作和后台管理能力都应按最小化原则处理。

    第四，回看日志和主机痕迹。重点关注异常登录、异常文件写入、陌生进程、异常计划任务、Web 目录变化、配置文件变更、异常出站连接和安全产品告警。

    第五，验证补丁而不是只记录“已安排”。补丁后应确认实际版本、服务重启、集群节点一致性和回滚方案。多节点部署尤其容易出现“补了一半”的情况。

    第六，把老业务平台纳入持续治理。不要等到高危漏洞被利用才临时找负责人。系统是否仍有业务价值、是否能隔离、是否能迁移、是否能退役，都应有明确结论。

事实、推测与观点区分

    事实：Adobe 已发布 APSB26-68；CVE-2026-48282 被列为 Critical 且 CVSS 10.0；BleepingComputer 在 2026 年 7 月 6 日报道该漏洞已被利用；NHS England National CSOC 发布过相关提醒。

    推测：公开信息不足以判断攻击规模、攻击者身份、受害行业分布和每个受害实例的具体配置，因此不应做过度归因。

    观点：企业对老牌 Web 中间件的补丁优先级应重新上调。只要它仍在跑业务、连数据、暴露服务，就不是“历史包袱”，而是现实攻击面。

结语

    ColdFusion 这次事件的重点不只是“赶紧打一个补丁”，而是提醒企业别把长期运行的业务平台留在安全治理的阴影里。系统可以老，但台账、补丁、隔离和监控不能老。

关键来源

• BleepingComputer，2026-07-06，Max severity Adobe ColdFusion flaw now exploited in attacks：https://www.bleepingcomputer.com/news/security/max-severity-adobe-coldfusion-flaw-now-exploited-in-attacks/

• Adobe Security Bulletin APSB26-68，2026-06-30，Security update available for Adobe ColdFusion：https://helpx.adobe.com/security/products/coldfusion/apsb26-68.html

• NHS England National CSOC，2026，Active Exploitation of CVE-2026-48282 in Adobe ColdFusion：https://digital.nhs.uk/cyber-alerts/2026/cc-4808

•     NVD，CVE-2026-48282：https://nvd.nist.gov/vuln/detail/CVE-2026-48282

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：字节脉搏实验室 tcode tcode《ColdFusion 高危漏洞被利用：老牌 Web 平台，不能再靠“低调运行”避险》