Poprawka Adobe była gotowa 30 czerwca, a mimo to serwery ColdFusion z włączonym RDS padają ofiarą zautomatyzowanych ataków. Wyjaśniamy, kto jest naprawdę narażony, które wersje trzeba zainstalować i jak sprawdzić, czy włamywacz nie zostawił już webshella.
Adobe załatało lukę CVE-2026-48282 w serwerze ColdFusion 30 czerwca 2026 roku. Dwa dni później badacze opublikowali jej techniczny opis, a według firmy KEVIntel pierwsze próby ataku pojawiły się w ciągu około dwóch godzin od tej publikacji. To dobry przykład, dlaczego przy lukach z oceną 10 na 10 plan „zaktualizujemy w najbliższym oknie serwisowym” przestaje wystarczać.
7 lipca 2026 roku amerykańska agencja CISA wpisała CVE-2026-48282 do katalogu Known Exploited Vulnerabilities (KEV), czyli wykazu luk, których wykorzystanie w prawdziwych atakach zostało potwierdzone. Agencjom federalnym USA dała na reakcję 3 dni i wymogła analizę kryminalistyczną. Dla polskiej firmy to nie obowiązek prawny, ale najmocniejszy publiczny sygnał, że atak przestał być teorią.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-48282 (alias GHSA-jfrp-7pp5-772c, w bazie ENISA: EUVD-2026-40339) |
Data dodania do CISA KEV | 7 lipca 2026 (termin dla agencji federalnych USA: 10 lipca 2026) |
Produkt | Adobe ColdFusion, serwer aplikacyjny do budowy i uruchamiania aplikacji internetowych |
Wersje zagrożone | ColdFusion 2025: wydanie bazowe do Update 9 włącznie; ColdFusion 2023: wydanie bazowe do Update 20 włącznie |
Wersje bezpieczne | ColdFusion 2025 Update 10 lub nowsza; ColdFusion 2023 Update 21 lub nowsza (biuletyn Adobe APSB26-68) |
Typ podatności | Path traversal, czyli wyjście poza dozwolony katalog (CWE-22), prowadzące do wykonania dowolnego kodu |
Ocena CVSS | 10,0/10 w CVSS 3.1 (KRYTYCZNA), ocena Adobe: atak przez sieć, bez konta, bez udziału użytkownika, zmieniony zakres |
Użycie w ransomware (KEV) | Unknown, czyli brak publicznie potwierdzonych danych |
EPSS (prognoza wykorzystania) | 42,39% w ciągu 30 dni, wyżej niż 98,6% ocenianych luk (stan na 13 września 2026) |
Wydanie ColdFusion | Wersja podatna | Wersja z poprawką | Status wsparcia |
|---|---|---|---|
ColdFusion 2025 | bazowa, Update 1 do Update 9 | Update 10 (30 czerwca 2026) lub nowsza | wspierane |
ColdFusion 2023 | bazowa, Update 1 do Update 20 | Update 21 (30 czerwca 2026) lub nowsza | wspierane |
ColdFusion 2021 | nie figuruje w rekordzie NVD | brak poprawek | wsparcie podstawowe zakończone 10 listopada 2025, bez łatek bezpieczeństwa |
ColdFusion 2018 i starsze | nie figuruje w rekordzie NVD | brak poprawek | poza wsparciem |
Według doniesień branżowych biuletyn usuwa 11 luk w ColdFusion, w tym kilka ocenionych na 10,0. Adobe nadało mu priorytet 1, czyli zalecenie instalacji w ciągu około 72 godzin. Brak starszych wydań w rekordzie NVD nie oznacza, że są bezpieczne: nikt nie wydaje już dla nich poprawek.
Wyobraź sobie biurowiec, w którym jest specjalne wejście serwisowe dla ekipy remontowej. Przez nie ekipa wnosi materiały do jednego, wyznaczonego pomieszczenia. Luka polega na tym, że portier przy tym wejściu nie sprawdza adresu na paczce. Wystarczy napisać „pomieszczenie remontowe, potem dwa piętra wyżej, gabinet prezesa”, a paczka trafia tam, gdzie chce nadawca.
Do tego każda kartka położona w holu recepcji jest traktowana jak polecenie służbowe. Atakujący podrzuca tam swoją „instrukcję”, a budynek ją wykonuje. Tak działa CVE-2026-48282: zapis pliku poza dozwolonym katalogiem zamienia się w wykonywanie cudzego kodu.
Słowniczek: RDS (Remote Development Services) to funkcja ColdFusion, przez którą programiści z poziomu swojego edytora czytają i zapisują pliki na serwerze. Jest przydatna na komputerach deweloperskich, ale na serwerze produkcyjnym nie powinna być włączona.
Słowniczek: Webshell to mały plik strony internetowej podrzucony przez włamywacza, który po otwarciu w przeglądarce wykonuje jego polecenia na serwerze, jak pilot do cudzego komputera.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Zapis pliku przez RDS | Tylko w dozwolonym katalogu i tylko dla uprawnionego programisty | W dowolnym miejscu dysku, także w katalogu publicznej strony |
Kto może wysłać żądanie | Programista z hasłem RDS | Każdy, kto dotrze do serwera, gdy RDS działa bez hasła |
Co się dzieje z podrzuconym plikiem | Nic, bo nie ma jak go podrzucić | ColdFusion uruchamia go jak zwykłą stronę aplikacji |
Kto kontroluje serwer | Firma | Atakujący, z uprawnieniami konta usługi ColdFusion |
Według badaczy watchTowr atak działa, gdy RDS jest włączone i ma wyłączone uwierzytelnianie. To nie jest ustawienie domyślne, ale takie konfiguracje latami zostają na serwerach po wdrożeniach.
Mechanizm jest opisany publicznie. Żądanie trafia do obsługi plików RDS pod adresem /CFIDE/main/ide.cfm?ACTION=FILEIO. Nazwa pliku zawiera sekwencje typu ../, więc serwer zapisuje plik poza katalogiem, na który powinien się ograniczać. Atakujący zapisuje w katalogu strony plik .cfm z webshellem, a następnie po prostu go otwiera.
Warunki skutecznego ataku:
Mogę Ci jakoś pomóc?
Warunek | Czy jest spełniony w typowej instalacji? | Co to oznacza dla firmy |
|---|---|---|
ColdFusion 2025 do Update 9 lub 2023 do Update 20 | Tak, jeśli nie wdrożono poprawki z 30 czerwca 2026 | Każdy niezaktualizowany serwer jest kandydatem |
Serwer osiągalny przez sieć | Często, portale i sklepy są z założenia publiczne | Wystarczy dostęp do adresu serwera |
RDS włączone | Nie domyślnie, ale bywa zostawione po wdrożeniach | Trzeba to sprawdzić na każdym serwerze |
Uwierzytelnianie RDS wyłączone | Nie domyślnie, według testów watchTowr | Brak hasła RDS otwiera drogę bez konta |
Konto lub kliknięcie pracownika | Niepotrzebne | Szkolenia pracowników tu nie pomogą |
Timeline ataku:
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1 | T+0 min | Automatyczne skanowanie internetu w poszukiwaniu serwerów ColdFusion z dostępnym katalogiem /CFIDE/ | Lista potencjalnych celów |
2 | T+1 min | Sprawdzenie, czy RDS odpowiada bez hasła | Wybór serwerów podatnych w praktyce |
3 | T+2 min | Wysłanie żądania FILEIO z nazwą pliku zawierającą ../ | Webshell zapisany w katalogu publicznej strony |
4 | T+3 min | Otwarcie podrzuconego pliku .cfm | Wykonywanie poleceń systemu z uprawnieniami usługi ColdFusion |
5 | T+10 min do kilku godzin | Kradzież haseł do baz danych z konfiguracji, dodatkowe webshelle, narzędzia do tunelowania | Trwały dostęp, także po późniejszej aktualizacji |
6 | Dni lub tygodnie | Ruch do innych systemów w sieci, kradzież danych, ewentualnie szyfrowanie | Wyciek danych, przestój, szantaż |
Etapy 1 do 4 opisują potwierdzony w źródłach mechanizm. Etapy 5 i 6 to typowe działania po przejęciu serwera, które analitycy Deepwatch wymieniają jako możliwe cele. Publicznie nie potwierdzono ich jeszcze w konkretnych incydentach z tą luką.
Konkretne scenariusze zagrożenia:
ColdFusion rzadko jest „tylko stroną”. Zwykle obsługuje portale klientów, systemy zamówień, intranety i integracje z bazami danych. Kto przejmie serwer aplikacyjny, dostaje zwykle także zapisane na nim hasła do tych baz.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie portalu lub systemu zamówień na czas usuwania skutków włamania | Godziny od wykrycia | 5 000 do 50 000 zł za dzień przestoju |
Bezpieczeństwo danych | Kradzież danych klientów i haseł do baz z konfiguracji serwera | Minuty od przejęcia | 50 000 do 500 000 zł (analiza, powiadomienia, obsługa prawna) |
Finansowy | Koszty reakcji na incydent, odtworzenie serwerów, ewentualne żądanie okupu | Dni | 40 000 do 300 000 zł |
Reputacyjny | Utrata zaufania klientów portalu, odejście części kontrahentów | Tygodnie | spadek sprzedaży online rzędu kilku do kilkunastu procent |
Prawny | Zgłoszenie naruszenia do UODO w 72 godziny, możliwe kary RODO do 20 mln EUR lub 4% rocznego obrotu | Miesiące | od kosztów doradztwa do kar administracyjnych |
Kwoty w tabeli to szacunki poglądowe dla małej lub średniej firmy, a nie dane z incydentów związanych z tą luką.
Macierz ryzyka (dla serwera ColdFusion osiągalnego z internetu, bez aktualizacji):
Wpływ
5 | ■ ← CVE-2026-48282 (RDS włączone bez hasła)
4 | ■ □ ← serwer bez aktualizacji, RDS wyłączone
3 | ■ ■ ■
2 | ■ ■ ■ ■
1 | ■ ■ ■ ■ ■
+--------------
1 2 3 4 5 Prawdopodobieństwo Pozycja w prawym górnym rogu dotyczy serwera z włączonym RDS bez uwierzytelniania: exploit jest publiczny, a ataki są zautomatyzowane. Serwer z wyłączonym RDS jest wyraźnie mniej narażony na tę konkretną ścieżkę, ale nadal pozostaje bez poprawek na pozostałe krytyczne luki z tego samego biuletynu.
Kolejność działań ma znaczenie. Aktualizacja zamyka lukę, ale nie odpowiada na pytanie, czy ktoś skorzystał z niej między 2 lipca a dniem wdrożenia poprawki.
Priorytet | Działanie | Termin | Odpowiedzialny | Status |
|---|---|---|---|---|
🔴 NATYCHMIAST | Spis wszystkich serwerów ColdFusion z numerem wydania i aktualizacji (panel administratora, Server Settings) | Dzisiaj | IT Manager | ☐ |
🔴 NATYCHMIAST | Aktualizacja do ColdFusion 2025 Update 10 lub ColdFusion 2023 Update 21 albo nowszych | Dzisiaj | Administrator serwerów | ☐ |
🔴 NATYCHMIAST | Wyłączenie RDS na serwerach produkcyjnych | Dzisiaj | Administrator serwerów | ☐ |
🔴 NATYCHMIAST | Zablokowanie dostępu z internetu do /CFIDE/administrator i /CFIDE/main/ide.cfm | Dzisiaj | IT Security | ☐ |
🟠 PILNIE | Przegląd katalogów aplikacji i /CFIDE/ pod kątem nieznanych plików .cfm, .cfc, .cfml i .jsp z datą od 30 czerwca 2026 | 24-48h | Incident Response | ☐ |
🟠 PILNIE | Przegląd logów serwera WWW pod kątem żądań do ide.cfm z ACTION=FILEIO i sekwencji ../ | 24-48h | SOC | ☐ |
🟠 PILNIE | Zmiana haseł do baz danych i kont zapisanych w konfiguracji ColdFusion, jeżeli serwer był osiągalny z internetu | Do jutra po przeglądzie | Administrator baz danych | ☐ |
🟡 WAŻNIE | Plan migracji serwerów ColdFusion 2021 i starszych na wspierane wydanie | W ciągu tygodnia | CTO | ☐ |
🟡 WAŻNIE | Stały monitoring procesów uruchamianych przez usługę ColdFusion, np. cmd.exe lub powershell.exe | W ciągu tygodnia | SOC | ☐ |
Mogę Ci jakoś pomóc?
Jeśli aktualizacja nie jest dostępna (np. serwer ColdFusion 2021 bez wsparcia albo aplikacja wymagająca testów zgodności):
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie RDS w panelu administratora | około 90-95% dla tej ścieżki ataku | Wysoka |
Blokada /CFIDE/ z internetu na zaporze lub serwerze WWW | około 85-95% | Wysoka |
Włączenie hasła RDS, jeśli funkcja jest niezbędna | około 70-80% | Wysoka |
Reguły WAF wykrywające żądania RDS i ciągi ../ | około 60-80% | Średnia |
Odcięcie serwera od internetu i dostęp tylko przez VPN | około 95-99% | Niska |
Wartości efektywności to szacunki poglądowe, a nie wyniki testów. Żadna z tych miar nie zastępuje aktualizacji, a według Greenbone Adobe nie opublikowało alternatywnego obejścia.
Matryca decyzyjna dla managera:
Sytuacja serwera | Decyzja | Kto zatwierdza | Termin |
|---|---|---|---|
Zaktualizowany przed 2 lipca 2026, RDS wyłączone | Potwierdzić wersję na piśmie, przegląd plików jako kontrola | IT Manager | W ciągu tygodnia |
Zaktualizowany po 2 lipca 2026, dostępny z internetu | Pełny przegląd pod kątem włamania, zmiana haseł do baz | CTO | 24-48h |
Niezaktualizowany, RDS wyłączone | Aktualizacja w trybie awaryjnym, bez czekania na okno serwisowe | CTO | Dzisiaj |
Niezaktualizowany, RDS włączone bez hasła, dostępny z internetu | Natychmiastowe odcięcie od internetu, aktualizacja, analiza kryminalistyczna | Zarząd na wniosek CTO | Teraz |
ColdFusion 2021 lub starszy | Izolacja od internetu i decyzja budżetowa o migracji | Zarząd | Decyzja w ciągu tygodnia |
Przed i po wdrożeniu planu:
Obszar | Przed | Po |
|---|---|---|
Wersja ColdFusion | 2023 Update 20 lub 2025 Update 9 albo starsza | 2023 Update 21 lub 2025 Update 10 albo nowsza |
RDS na produkcji | Włączone, czasem bez hasła | Wyłączone |
Katalog /CFIDE/ | Dostępny z internetu | Dostępny tylko z sieci administracyjnej lub VPN |
Wiedza o włamaniu | Nieznana | Udokumentowany przegląd plików i logów od 30 czerwca 2026 |
Hasła do baz w konfiguracji | Te same od lat | Zmienione po przeglądzie |
To nie jest klasyczny zero-day. Poprawka była dostępna przed atakami. Problemem okazało się tempo: od publikacji analizy do pierwszych prób ataku minęło według KEVIntel mniej niż dwie godziny, a większość firm nie zdążyła nawet zaplanować okna serwisowego.
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK: potwierdzają to CISA (KEV), kanadyjskie Centrum Cyberbezpieczeństwa (CCCS) i sensory KEVIntel |
Grupy przestępcze | Brak publicznie potwierdzonych danych o konkretnych grupach |
Kampanie ransomware | Brak publicznie potwierdzonych danych; KEV oznacza użycie w ransomware jako „Unknown” |
Ocena CVSS | 10,0/10 (KRYTYCZNA) |
PoC dostępny publicznie? | TAK: szczegółowe żądania opisali badacze watchTowr, a Deepwatch wskazuje publiczny, nieuzbrojony PoC na GitHubie |
Liczba atakowanych firm | Brak publicznie potwierdzonych danych o ofiarach; Shadowserver raportował w lipcu około 750-800 serwerów ColdFusion widocznych w internecie |
Źródła ataków | CrowdSec podaje 107 unikalnych adresów IP atakujących tę lukę w swojej sieci |
Prawdopodobieństwo wg EPSS | 42,39% (13 września 2026), nadal w górnych 2% wszystkich luk |
Linia czasu incydentu:
2026-06-30: Adobe publikuje biuletyn APSB26-68 (CF 2025 Update 10, CF 2023 Update 21)
2026-06-30: Publikacja rekordu CVE-2026-48282 w NVD, CVSS 10,0
2026-07-02: watchTowr publikuje analizę techniczną RDS FILEIO
2026-07-02: KEVIntel rejestruje pierwsze próby ataku (poniżej 2 godzin od analizy)
2026-07-07: CISA dodaje lukę do katalogu KEV
2026-07-10: Termin naprawy dla agencji federalnych USA
2026-08-28: Ostatnia aktualizacja rekordu w NVD
2026-09-13: EPSS 42,39%, percentyl 98,6
2026-09-14: TUTAJ JESTEŚMY - ponad 10 tygodni po poprawce, sprawdź serwery! Adobe to częsty cel. Według BleepingComputer od listopada 2021 roku CISA wpisała do katalogu KEV 79 luk w produktach Adobe, z czego 10 wykorzystano w atakach ransomware. Starsze luki w ColdFusion również trafiały do tego katalogu.
Biuletyn producenta z listą aktualizacji: https://helpx.adobe.com/security/products/coldfusion/apsb26-68.html
✓ | Zadanie | Kto | Deadline |
|---|---|---|---|
☐ | Pobrać ColdFusion 2025 Update 10 lub ColdFusion 2023 Update 21 (albo nowsze) zgodnie z biuletynem APSB26-68 | IT Manager | DZISIAJ |
☐ | Wyłączyć RDS i zablokować /CFIDE/ z internetu przed testami aktualizacji | Administrator serwerów | DZISIAJ |
☐ | Przetestować aktualizację na kopii środowiska, łącznie z logowaniem i integracjami z bazą | QA | DZISIAJ |
☐ | Zakomunikować klientom i zespołom krótkie okno serwisowe | Project Manager | DZISIAJ |
☐ | Wdrożyć aktualizację na serwerach produkcyjnych | DevOps | DO JUTRA |
☐ | Przejrzeć logi i pliki w katalogach aplikacji za okres od 30 czerwca 2026 | SOC | DO JUTRA |
☐ | Potwierdzić numer aktualizacji na każdym serwerze w panelu administratora i zapisać wynik | IT Manager | DO JUTRA |
☐ | Jeżeli znaleziono ślady włamania: zabezpieczyć dowody i ocenić obowiązek zgłoszenia do UODO | Inspektor Ochrony Danych | 72 godziny od stwierdzenia naruszenia |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy posiadamy serwery Adobe ColdFusion 2025 do Update 9 lub ColdFusion 2023 do Update 20? | TAK / NIE | 🔴 |
2 | Jaki numer aktualizacji ma każdy serwer ColdFusion i czy jest to co najmniej Update 10 (2025) lub Update 21 (2023)? | lista serwerów z numerami | 🔴 |
3 | Czy na którymkolwiek serwerze jest włączone RDS i czy wymaga ono hasła? | TAK / NIE | 🔴 |
4 | Czy katalog /CFIDE/ jest osiągalny z internetu? | TAK / NIE | 🔴 |
5 | Kto sprawdził pliki i logi za okres od 30 czerwca 2026 i co znalazł? | osoba, data, wynik | 🟠 |
6 | Czy mamy jeszcze ColdFusion 2021 lub starsze wydania bez wsparcia? | TAK / NIE | 🟠 |
7 | Czy mamy aktywne wsparcie Adobe dla posiadanej licencji? | TAK / NIE | 🟠 |
8 | Czy możemy zlecić test penetracyjny aplikacji na ColdFusion? | TAK / NIE | 🟡 |
9 | Czy mamy plan reakcji na incydent z datą ostatniego ćwiczenia? | TAK / NIE | 🟡 |
Pytania diagnostyczne dla managera:
Najważniejsza lekcja z CVE-2026-48282 dotyczy czasu, nie technologii. Luka była załatana przed atakami, ale od publikacji szczegółów do pierwszych prób minęły niecałe dwie godziny. Zarząd nie musi rozumieć mechanizmu RDS. Musi dopilnować, żeby aktualizacja i przegląd serwerów miały właściciela, termin i pisemne potwierdzenie.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.