要点汇总
关于一个正影响 Adobe ColdFusion 的关键高危漏洞的细节现已披露。该漏洞的官方追踪编号为 CVE-2026-48282，它给 Web 基础架构带来了重大安全风险。
该问题源于通过 Web 端点暴露的 ColdFusion RDS FILEIO 处理程序中存在路径遍历漏洞。该漏洞允许未经身份验证的攻击者在服务器上读取或写入文件，并可能借此实现远程代码执行 (RCE)。
尽管 Adobe 已发布了修复补丁来解决该问题，但大量生产环境仍然面临风险。
我们已主动部署了 Adaptive Security Engine 快速规则，全力保护客户免受这一威胁的侵害。
漏洞详情
该问题的核心在于 Adobe ColdFusion RDS FILEIO 处理程序内部存在一个路径遍历漏洞。该漏洞允许攻击者操纵文件路径，从而可能导致未经授权访问文件系统。由于该端点通过 Web 界面直接暴露且无需任何用户交互，因此极易遭到恶意分子利用。
当针对 /CFIDE/main/ide.cfm?ACTION=FILEIO 端点发起攻击时，该漏洞即可被恶意利用。通过发送精心构造的 application/octet-stream 请求体，攻击者可以提供可疑的文件路径、遍历序列或文件写入操作。一旦处理程序未能正确校验并妥善处理这些输入，将直接导致任意文件访问或远程代码执行。
Adobe ColdFusion 攻击原理
该攻击恶意利用了 RDS FILEIO 处理程序未能妥善过滤输入数据的漏洞。攻击者首先向存在漏洞的端点发送一个精心构造的 HTTP 请求：
文件读/写：通过注入遍历序列（例如 ../），攻击者可以跨越目录限制访问敏感文件，或直接覆盖现有的配置文件。
远程代码执行 (RCE)：通过将恶意文件（如 .cfm 文件）写入 Web 目录，攻击者可以直接在服务器上执行任意代码，从而完全接管整个环境。
由于该漏洞允许直接操纵文件且无需身份验证，因此对任何暴露在公共互联网上的 ColdFusion 实例都构成了严重威胁。
该漏洞存在于以下 Adobe ColdFusion 的核心版本中：
Adobe ColdFusion 2025.9 及更早版本
Adobe ColdFusion 2023.20 及更早版本
用户应立即安装 Adobe 在 APSB26-68 安全通告中提供的安全更新，以修复该漏洞。
利用 Akamai App & API Protector 抵御漏洞
我们已为 Akamai App & API Protector 客户部署了 Adaptive Security Engine 快速规则，以针对该威胁提供全面防护：
3000985——检测到 Adobe ColdFusion RDS 恶意利用企图 (CVE-2026-48282)
总结
Akamai App & API Protector 内部已上线一项全新规则，全力保护我们的客户免受最新 Adobe ColdFusion 威胁的侵害。
尽管 Web 应用程序防火墙 (WAF) 规则能够识别并阻止已知的漏洞利用模式，但最有效的防御手段还是及时安装供应商提供的修复补丁。鉴于该漏洞的严重性，企业应尽早应用相关更新。
Akamai 安全情报组将继续监控此类威胁，并随时向我们的客户及整个安全社区报告相关情况以及创建抵御措施。如需及时了解 Akamai 安全情报组发布的更多最新动态，请查看我们的研究首页并关注我们的社交媒体频道。
标签
