De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft federale overheidsinstanties opgedragen om uiterlijk vrijdag een ernstig beveiligingslek in het Adobe ColdFusion platform te patchen. Het gaat om een kwetsbaarheid met maximale ernst, bekend als CVE-2026-48282, die ColdFusion-versies 2025.9, 2023.20 en eerdere versies treft. Deze kwetsbaarheid kan door aanvallers op afstand en zonder speciale rechten worden misbruikt om code uit te voeren op systemen die niet zijn bijgewerkt.

Adobe bracht een week geleden al beveiligingsupdates uit om dit lek te verhelpen en riep beheerders op om de patches direct te installeren vanwege het hoge risico op exploitatie. Volgens Adobe betreft het kwetsbaarheden die actief worden aangevallen of een verhoogd risico daarop hebben. Kort na de patchrelease waarschuwde KEVIntel-oprichter Ryan Dewhurst dat aanvallers binnen twee uur na de bekendmaking van Adobe al begonnen met het misbruiken van CVE-2026-48282. Ook het Canadese Center for Cyber Security raadzaamde netwerkbeheerders om hun systemen te beveiligen tegen deze aanvallen.

Volgens de internetbeveiligingsorganisatie Shadowserver zijn momenteel bijna 800 Adobe ColdFusion-instanties online zichtbaar, hoewel niet duidelijk is hoeveel daarvan honeypots zijn of al adequaat zijn beveiligd tegen deze kwetsbaarheid. Op dinsdag voegde CISA CVE-2026-48282 toe aan haar lijst van actief misbruikte kwetsbaarheden en stelde een deadline voor patching op vrijdag 10 juni, conform de Binding Operational Directive (BOD) 26-04. Deze richtlijn verplicht federale instanties om prioriteit te geven aan patchen op basis van exploitatiegraad, automatiseringsmogelijkheden van aanvallen, blootstelling van kwetsbare assets en de impact van succesvolle exploits.

Vorige week bracht Adobe ook patches uit voor zes andere kritieke kwetsbaarheden in ColdFusion en Campaign Classic, die eveneens als hoog risico werden aangemerkt. Voor deze kwetsbaarheden is echter nog geen actief misbruik bekend. Eerder dit jaar bracht Adobe ook spoedupdates uit voor een Acrobat Reader-kwetsbaarheid die sinds december 2025 als zero-day werd misbruikt. Sinds november 2021 heeft CISA in totaal 80 kwetsbaarheden in Adobe-producten toegevoegd aan haar lijst van actief misbruikte lekken, waarvan tien ook werden ingezet bij ransomware-aanvallen.