CVE-2023-26360: Adobe ColdFusion Improper Access Control

CVE-2023-26360 è una vulnerabilità di Improper Access Control in Adobe ColdFusion. Interessa versioni 2018 Update 15 (e precedenti) e 2021 Update 5 (e precedenti). La falla consente arbitrary code execution nel contesto dell'utente corrente senza richiedere interazione dell'utente, aumentando significativamente il rischio di compromissione di sistemi in cui ColdFusion è in esecuzione.

Il CVSS è 8,6 con gravità dichiarata HIGH: una vulnerabilità critica per ambienti production. Il CVE è stato pubblicato ufficialmente il 23 marzo 2023. A partire da novembre 2026, sono stati segnalati repository GitHub pubblici che dichiarano di contenere exploit correlati a questa vulnerabilità: un indicatore del rinnovato interesse della comunità di ricerca. Tuttavia, i segnali su social network (X) rimangono assenti, suggerendo una divulgazione più contenuta rispetto ad altre vulnerabilità di pari gravità.

I difensori devono verificare urgentemente quale versione di ColdFusion sia in uso nei loro ambienti. Se risultano le versioni 2018 Update 15 o 2021 Update 5 (o precedenti), il patching assume priorità massima. Oltre all'aggiornamento, si consiglia di rafforzare il monitoraggio dei log di accesso su sistemi ColdFusion, in particolare cercando richieste anomale o tentativi di accesso non autorizzati. L'assenza di user interaction richiesta rende questa falla particolarmente pericolosa in reti esposte.