Adobe ColdFusion CVE-2026-48282 : une RCE sévérité max exploitée 2 heures après la divulgation
> En bref : CVE-2026-48282 est une faille d'exécution de code à distance non authentifiée sévérité maximale dans Adobe ColdFusion (versions 2025.9, 2023.20 et antérieures). CVSS 9.8, aucun privilège requis. L'exploitation a démarré moins de 2 heures après la divulgation d'Adobe du 1er juillet 2026, selon le réseau de honeypots KEVIntel. Shadowserver recense ~800 instances ColdFusion exposées en ligne.
Pourquoi ça compte encore en 2026
ColdFusion, c'est la plateforme web legacy qu'on adore déclarer morte — et qui continue de faire tourner des portails gouvernementaux, juridiques et entreprise critiques. Si vous vendez au secteur public français, à la legaltech ou aux grands comptes, l'intranet, le portail documentaire ou le module legacy de vos clients a une probabilité disproportionnée de tourner sous ColdFusion. La persistance de la plateforme est précisément ce qui en fait une cible : grosse surface d'attaque, cycle de patch lent, données de valeur derrière.
La faille et la timeline
Adobe a divulgué CVE-2026-48282 le 1er juillet dans un lot de six failles sévérité max ColdFusion/Campaign. Le bulletin la décrivait comme une RCE à risque d'exploitation élevé, complexité faible, sans interaction utilisateur. Recommandation standard d'Adobe : installer sous 72 heures.
La réalité a été plus rapide. KEVIntel a capté de l'exploitation in-the-wild en *moins de deux heures* après la publication des détails publics. Le Centre canadien pour la cybersécurité (CCCS) a émis une alerte confirmant l'exploitation active. C'est la courbe divulgation-exploitation moderne : quand une RCE web sévérité max tombe, la fenêtre de sécurité se mesure en heures, pas en jours.
Le pattern ColdFusion
ColdFusion est un occupant récurrent du KEV CISA. Depuis novembre 2021, 79 CVE de produits Adobe sont entrées au catalogue des failles activement exploitées, et 10 ont servi dans des attaques par ransomware. Les failles RCE ColdFusion spécifiquement ont une histoire de scan de masse sous 24-48 heures après divulgation. Les raisons sont structurelles :
Quand les trois s'alignent, on obtient la fenêtre « 2 heures » qu'on a vue ici.
Ce qu'il faut faire
L'angle SaaS
Pour un éditeur SaaS, ColdFusion apparaît généralement à deux endroits : dans le stack legacy de vos clients (qui devient votre problème quand vous vous y intégrez), et occasionnellement dans un produit legacy acquis que vous maintenez encore. Dans les deux cas, la leçon de CVE-2026-48282 est opérationnelle : toute plateforme web avec un historique de RCE non authentifiée et un écosystème de scanners actif doit être sur un SLA de patch sous 72 heures, derrière une gateway, hors Internet public. « On patchera le mois prochain », c'est une posture qui ne survit pas à la fenêtre de 2 heures.
Vous éditez un logiciel RH, paie ou recrutement ? CleanIssue réalise des audits de sécurité pour SaaS RH en conditions réelles, sans accès au code. Pour une première lecture de votre exposition, commencez par une revue externe de votre application.
Articles liés
Trois analyses proches pour continuer la lecture sur la meme surface de risque.
Adobe Campaign Classic CVE-2026-48449 : un 10.0 parfait en RCE sur le marketing automation
Une faille d'autorisation de sévérité maximale (CVSS 10.0) dans Adobe Campaign Classic permet l'exécution de code arbitraire sans interaction utilisateur. Associée à CVE-2026-48448 (injection SQL, 8.6) permettant la lecture de fichiers arbitraires. Corrigé dans ACC v7 build 9398. Non encore exploitée.
Fastjson 1.x CVE-2026-16723 : une RCE critique sans correctif, exploitée activement
Une faille d'exécution de code à distance CVSS 9.0 dans Fastjson 1.2.68–1.2.83 d'Alibaba permet à un attaquant non authentifié d'exécuter du code sur les applications Spring Boot fat-JAR affectées. Aucun AutoType ni gadget de classpath requis. Aucun correctif 1.x disponible à ce jour. Contournement : SafeMode.
Rails Active Storage : une faille critique avec lecture de fichiers arbitraires et potentiel de RCE
Une vulnérabilité critique dans le framework Active Storage de Rails permet à un attaquant non authentifié de lire des fichiers arbitraires sur le serveur applicatif, avec un potentiel d'escalade vers l'exécution de code à distance. Affecte les applications Ruby on Rails utilisant Active Storage. Correctif disponible.
Sources
Services associés
Si ce sujet reflète un risque concret sur votre stack, voici les audits CleanIssue les plus pertinents.