Adobe, ColdFusion kullanıcılarını acil bir şekilde güncelleme yapmaya çağırdı. Şirket, maksimum şiddette bir güvenlik açığının (CVE-2026-48282) saldırganlar tarafından aktif olarak istismar edildiğini bildirdi. 30 Haziran'da yayımlanan APSB26-68 bülteninde 11 CVE için yamalar çıkarıldı ve bunlardan altısı CVSS puanı 10 alarak en yüksek risk seviyesini temsil etti.
Güvenlik araştırmacıları, CVE-2026-48282'nin kamuya açıklanmasından saatler sonra hedef alındığını tespit etti. Bu, popüler web uygulama geliştirme platformunda bir yol atlama (path traversal) açığı olup, rastgele kod çalıştırılmasına yol açabiliyor. ShadowServer Vakfı verilerine göre, halihazırda internette 775 ColdFusion sunucusu bu açığa karşı savunmasız durumda.
CVE-2026-48282 ve APSB26-68'de listelenen diğer açıklar, yazı itibarıyla CISA'nın Bilinen İstismar Edilen Güvenlik Açıkları kataloğunda yer almıyor ancak bu durumun kısa sürede değişmesi bekleniyor. Maksimum şiddetteki bu açıklar, istismar için kullanıcı etkileşimi gerektirmediğinden özellikle tehlikeli.
Uzmanların Görüşleri
Adobe, yapay zekanın istismar süresini kısaltmasından endişe duyarak, haziran ayında güvenlik bültenlerini aylıktan iki haftada bire çıkardığını duyurdu. Adobe CSO'su Aanchal Gupta, 'Bu yeni tempo, gelişmiş güvenlik açığı keşfine yapılan yatırımların doğrudan sonucudur. Yapay zeka keşfi hızlandırıyor, ancak dayanıklılık hala temellere dayanıyor: görünürlük, katmanlı kontroller, sürekli izleme ve bulunan düzeltmeleri hızlıca yayınlama disiplini.' dedi. Adobe, CVE-2026-48282 veya diğer açıklar için henüz vahşi ortamda herhangi bir istismar tespit etmediğini belirtse de, ColdFusion ürünü saldırganlar için popüler bir hedef olmaya devam ediyor. 2023'te tehdit aktörleri platformu kripto madenciliği, DDoS ve diğer saldırılarda kullanmıştı.
