Adobe ColdFusion'da keşfedilen ve CVSS puanı 10 olan kritik bir güvenlik açığı, saldırganlar tarafından hızla istismar edilmeye başlandı. CVE-2026-48282 olarak izlenen bu güvenlik açığı, path traversal yöntemiyle uzaktan kod çalıştırmaya olanak tanıyor. Adobe, 30 Haziran'da yayınladığı güncellemelerle bu açığı ve diğer beş kritik seviyedeki açığı kapattı. Şirket, ColdFusion 2025 güncelleme 10 ve ColdFusion 2023 güncelleme 21 sürümlerini yayınlayarak kullanıcıları en kısa sürede güncelleme yapmaya çağırdı.
Ancak güvenlik açığı kamuoyuna duyurulduktan sadece iki saat sonra, saldırganlar harekete geçti. KEVIntel adlı güvenlik platformu, global honeypot ağı üzerinden bu açığın aktif olarak istismar edildiğini tespit etti. KEVIntel kurucusu Ryan Dewhurst, 'KEVIntel, küresel honeypot ağımızda bu açığın vahşi ortamda istismar edildiğini tespit etti' dedi. Kısa bir süre sonra Kanada Siber Güvenlik Merkezi de açık kaynak raporlarına dayanarak söz konusu açığın saldırılarda kullanıldığı konusunda uyarı yayınladı.
Adobe henüz resmi olarak bu açığın vahşi ortamda istismar edildiğine dair bir güncelleme yayınlamadı. SecurityWeek, konuyla ilgili Adobe'dan açıklama talep etti. Tuskira kurucu ortağı ve CEO'su Piyush Sharma, durumu şöyle yorumladı: 'Adobe hızlı bir şekilde yama yayınladı, ancak karar penceresinin ne kadar dramatik bir şekilde daraldığını görüyoruz. Raporlara göre, saldırganlar güvenlik açığını kamuoyuna duyurulduktan sonraki iki saat içinde istismar etmeye başladı. Bu, birçok kuruluşun yamaları gerçekçi bir şekilde doğrulaması, önceliklendirmesi, test etmesi ve üretim ortamlarına dağıtması için gereken süreden çok daha kısa.'
Sharma sözlerine şöyle devam etti: 'Zorluk, hangi sistemlerin erişilebilir olduğunu, hangi güvenlik açıklarının saldırı yolları oluşturduğunu ve düzeltme devam ederken maruziyeti azaltabilecek hangi telafi edici kontrollerin bulunduğunu belirlemektir. Açıklama ve istismar arasındaki pencere daralmaya devam ettikçe, kuruluşlar giderek daha fazla güvenlik kararlarının hızı ve kalitesi konusunda rekabet edecek.' Bu gelişmeler, özellikle kritik altyapı kullanan kuruluşların güvenlik yamalarını acilen uygulaması gerektiğini bir kez daha ortaya koyuyor.
