- Aktif istismar
- CWE-22
CVE-2026-48282
Adobe ColdFusion'da dizin geçişi (path traversal) ile uzaktan kod çalıştırma açığı
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 120 gün
- Kaydı açan
- adobe
Yönetici özeti
Bu açık, internetten erişilebilen ColdFusion sunucularının kimlik doğrulaması olmadan ele geçirilmesine yol açabilir ve saldırganlar tarafından halihazırda kullanılmaktadır. Başarılı bir saldırı hizmet kesintisine, veri sızıntısına ve sistemlerin kontrolünün kaybedilmesine neden olabilir. Güncellemenin gecikmeden uygulanması gerekir.
ÖzetTürkçe
Adobe ColdFusion'da, dosya yolu kısıtlamasının yetersiz uygulanmasından kaynaklanan bir dizin geçişi (path traversal, CWE-22) zafiyeti bulunuyor. Açık, ColdFusion 2025 sürümünde güncelleme 9 ve öncesini, ColdFusion 2023 sürümünde ise güncelleme 20 ve öncesini etkiliyor. Saldırı kimlik doğrulaması ya da kullanıcı etkileşimi gerektirmeden ağ üzerinden yapılabiliyor ve etki alanı değişiyor (scope changed). Açık, CISA'nın bilinen istismar edilen zafiyetler (KEV) listesine eklenmiştir.
Saldırgan ne yapabilir?
Saldırgan, mevcut kullanıcının yetkileriyle sunucuda keyfi kod çalıştırabilir; gizlilik, bütünlük ve erişilebilirlik tamamen tehlikeye girebilir. CVSS puanı 10 (kritik) olup açığın aktif olarak istismar edildiği bildirilmiştir.
Kaynaktaki açıklama (İngilizce)
ColdFusion versions 2025.9, 2023.20 and earlier are affected by an Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability that could lead to arbitrary code execution in the context of the current user. Exploitation of this issue does not require user interaction. Scope is changed.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Ne yapmalı?
- ColdFusion 2025 kullanıyorsanız Adobe'nin yayımladığı düzeltilmiş sürüme (güncelleme 10) yükseltin. Genel öneri
- ColdFusion 2023 kullanıyorsanız Adobe'nin yayımladığı düzeltilmiş sürüme (güncelleme 21) yükseltin. Genel öneri
- CISA yönergesi uyarınca, üreticinin talimatlarına göre önlemleri uygulayın, her varlığın internete açıklık durumunu değerlendirin ve CISA'nın adli bilişim triyaj gereksinimlerine uyun. CISA
- Önlemler uygulanamıyorsa ürünün kullanımını durdurun veya sunucuyu internet erişiminden çıkarın. CISA
Ek önlemler
- ColdFusion yönetim arayüzünü ve sunucuyu internete doğrudan açmayın; erişimi güvenlik duvarı, VPN veya IP kısıtlamasıyla sınırlayın. Genel öneri
- Güncelleme öncesinde sunucuda şüpheli dosya, beklenmeyen süreç ve olağandışı web isteği olup olmadığını günlüklerden kontrol edin; açık aktif istismar altında olduğundan olası ele geçirilmeyi göz önünde bulundurun. Genel öneri
- ColdFusion hizmetini en az yetkili hesapla çalıştırın ve sunucuyu iç ağdan ayırın. Genel öneri
- Web uygulama güvenlik duvarı (WAF) ile dizin geçişi denemelerini içeren istekleri engelleyin ve izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Adobe ColdFusion 2023 | ≤ 20 | – |
| 21 Etkilenmiyor | – | |
| Adobe ColdFusion 2025 | ≤ 9 | – |
| 10 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.