La risposta breve
Il 1° luglio 2026 Adobe ha rilasciato patch d'emergenza per sette falle CVSS 10.0 — sei in ColdFusion (bollettino APSB26-68) e una in Campaign Classic (APSB26-69) —, la maggior parte delle quali consente l'esecuzione di codice arbitrario. Adobe afferma di non essere a conoscenza di exploit in-the-wild, ma ha assegnato la sua massima valutazione, Priorità 1, e ha detto agli amministratori di aggiornare entro 72 ore. Applicate subito la patch se usate ColdFusion; poi fatene un motivo per pianificare l'uscita dal runtime legacy.
La notizia non è un exploit ingegnoso. È che un runtime applicativo ampiamente diffuso, spesso esposto a Internet, ha appena rilasciato un grappolo di falle di gravità massima con esecuzione di codice — esattamente il profilo che gli aggressori corrono a rendere armabile una volta che la patch è pubblica.
Cosa ha corretto davvero Adobe
Il rilascio di sicurezza di luglio di Adobe si è concentrato su due prodotti. Il bollettino APSB26-68 affronta 11 vulnerabilità in ColdFusion 2025 e ColdFusion 2023, sei delle quali portano il punteggio base CVSS massimo di 10.0. Secondo Adobe e report di sicurezza indipendenti, queste sei — identificate come CVE-2026-48276, CVE-2026-48277, CVE-2026-48281, CVE-2026-48282, CVE-2026-48283 e CVE-2026-48316 — derivano da caricamento senza restrizioni di tipi di file pericolosi, convalida degli input inadeguata e path traversal, e possono portare all'esecuzione di codice arbitrario. Un bollettino separato, APSB26-69, corregge una singola falla CVSS 10.0 di autorizzazione errata in Adobe Campaign Classic (CVE-2026-48286) che potrebbe anch'essa consentire l'esecuzione di codice — sette problemi di gravità massima sui due prodotti.
Per un team di sicurezza, la forma di questi bug conta più del loro numero. Il caricamento di file senza restrizioni e il path traversal che portano all'esecuzione di codice sono lo schema classico di una compromissione pre-autenticazione: un aggressore che riesce semplicemente a raggiungere il server può non avere bisogno di credenziali valide per eseguire comandi. È proprio il tipo di falla che trasforma una routine di patch in un incidente. Se ColdFusion si trova ovunque vicino al vostro perimetro, rientra nell'ambito di un audit di sicurezza, non solo in una coda di patch mensile.
Chi è interessato e come applicare la patch
Le falle di ColdFusion interessano ColdFusion 2025 Update 9 e tutte le versioni precedenti e ColdFusion 2023 Update 20 e tutte le versioni precedenti. Adobe le ha risolte in ColdFusion 2025 Update 10 e ColdFusion 2023 Update 21. Il problema di Campaign Classic riguarda la build on-premises 9396 e precedenti ed è corretto nella build 9397; le istanze Campaign ospitate da Adobe erano già state corrette. Adobe ha assegnato agli aggiornamenti di ColdFusion e Campaign il suo livello di urgenza più alto e ha raccomandato l'installazione entro 72 ore.
| Prodotto | Interessato | Corretto in |
|---|---|---|
| ColdFusion 2025 | Update 9 e precedenti | Update 10 |
| ColdFusion 2023 | Update 20 e precedenti | Update 21 |
| Campaign Classic (on-prem) | 7.4.3 build 9396 e precedenti | 7.4.3 build 9397 |
Aggiornare il runtime è il primo passo. Adobe fornisce anche una guida di lockdown per ColdFusion, e applicarla — account di servizio a privilegio minimo, permessi del file system limitati, funzionalità inutilizzate disattivate — è ciò che limita il raggio d'impatto quando arriva la prossima falla. Per i server che non riuscite ad aggiornare entro la finestra, un web application firewall con regole di virtual patching è un ripiego, non una correzione.
Perché ColdFusion finisce di continuo nei report di compromissione
Non è il primo rodeo Priorità 1 di ColdFusion. Il runtime è un application server più vecchio e a codice chiuso, ancora incorporato in finanza, assicurazioni, pubblica amministrazione e sistemi aziendali di lunga durata — spesso su host esposti a Internet e lenti da aggiornare, perché nessuno vuole toccare un'app critica per il business che «funziona ancora». È una combinazione pericolosa: elevata esposizione, elevato impatto e cicli di patch lenti. Le vulnerabilità di ColdFusion sono finite ripetutamente nei cataloghi delle vulnerabilità sfruttate proprio perché i bug non autenticati di caricamento file e traversal danno agli aggressori l'esecuzione di codice remoto da una singola richiesta.
La nota di Adobe secondo cui non ci sono exploit noti alla divulgazione è reale, ma ha una vita breve. Una volta che una patch è pubblica, gli aggressori la confrontano con la build precedente per ricostruire la vulnerabilità, e un exploit funzionante per bersagli esposti a Internet può comparire in pochi giorni. L'ipotesi prudente per una falla ColdFusion Priorità 1 con esecuzione di codice è che la finestra tra divulgazione e sfruttamento si misuri in giorni, non in mesi.
Cosa significa per i team di sviluppo US e UE
Togliete i numeri di CVE e questo rilascio diventa una questione di governance. Per i team statunitensi, falle di esecuzione di codice non corrette su sistemi che detengono dati di clienti o di pagamento alimentano direttamente l'esposizione agli obblighi di notifica delle violazioni e ai fallimenti dei controlli SOC 2. Per i team dell'UE e per chiunque venda in Europa, un server esposto a Internet con una falla nota di gravità massima è difficile da conciliare con l'obbligo di sicurezza «allo stato dell'arte» del GDPR — e, per i soggetti in ambito, con le aspettative più stringenti su incidenti e resilienza in arrivo con NIS2 e DORA. Una falla che conoscevate e non avete corretto è la peggiore versione di questa conversazione.
I settori regolamentati lo sentono per primi. Una FinTech o un'organizzazione sanitaria che usa ColdFusion legacy porta sia il rischio tecnico sia quello di conformità sulla stessa macchina. La mossa pratica è separare i due orologi: applicare la patch sull'orologio dell'emergenza questa settimana, e mettere il runtime stesso su un orologio di modernizzazione questo trimestre. Il flusso ricorrente di bollettini critici di ColdFusion è il business case — ognuno rappresenta lavoro d'emergenza non pianificato, revisione di sicurezza ed esposizione agli audit che uno stack moderno e supportato non genererebbe.
C'è anche una trappola di disciplina da nominare. «Lo aggiorniamo dopo» e «migreremo un giorno» sono le due modalità di fallimento, e si rafforzano a vicenda: la migrazione non inizia mai, quindi le patch d'emergenza non finiscono mai. Spezzare questo ciclo non richiede una riscrittura in un colpo solo. Di solito inizia identificando i carichi di lavoro ColdFusion esposti a Internet e regolamentati, isolandoli e modernizzando prima quelli — la fetta a più alto rischio, non l'intero parco in una volta.
Cosa fare questa settimana
Ecco la versione operativa. Trattate il bollettino come un incidente con un orologio di 72 ore, poi convertite la lezione in un piano.
- Inventariate ColdFusion ora. Individuate ogni istanza di ColdFusion 2025 e 2023, soprattutto quelle esposte a Internet. Non si può aggiornare ciò che non si vede, e il ColdFusion ombra è comune nelle vecchie imprese.
- Applicate gli aggiornamenti. Passate a ColdFusion 2025 Update 10 o 2023 Update 21 (e Campaign Classic build 9397) entro la finestra di 72 ore di Adobe; date priorità ai sistemi di perimetro e regolamentati.
- Rafforzate con la guida di lockdown. Imponete il privilegio minimo, limitate i percorsi del file system e di caricamento e disattivate i componenti inutilizzati, così la prossima falla avrà un raggio d'impatto minore.
- Aggiungete il virtual patching per i ritardatari. Mettete un WAF con regole per il caricamento di file e il traversal davanti a ogni server che non potete aggiornare subito — come ripiego, non come sostituto.
- Indagate prima di dare per scontato che sia pulito. Controllate i log per caricamenti sospetti, nuovi file nelle web root e connessioni in uscita inattese da giugno; trattate un runtime Priorità 1 come compromesso-fino-a-prova-contraria sugli host esposti.
- Definite l'uscita. Classificate i carichi di lavoro ColdFusion esposti a Internet e regolamentati e mettete un piano di modernizzazione in cima a quella lista, così il prossimo bollettino sarà il problema di qualcun altro.
Nulla di tutto ciò è consulenza legale, e i vostri obblighi esatti dipendono dai vostri dati, dal settore e dalla giurisdizione. Ma il segnale strategico è chiaro: le falle di gravità massima nei runtime legacy sono ormai un evento di routine, e il vantaggio va ai team che aggiornano in fretta e riducono la superficie — non a chi spera che il prossimo bollettino lo salti.
Domande frequenti
Cosa ha corretto Adobe in ColdFusion a luglio 2026?
Il 1° luglio 2026 Adobe ha pubblicato il bollettino APSB26-68, correggendo 11 vulnerabilità in ColdFusion 2025 e 2023. Sei portano il punteggio massimo CVSS 10.0 e derivano da caricamento di file senza restrizioni, convalida degli input inadeguata e path traversal che possono portare all'esecuzione di codice arbitrario. Un bollettino complementare, APSB26-69, ha corretto una falla CVSS 10.0 in Campaign Classic — sette falle di gravità massima in totale.
Quali versioni di ColdFusion sono interessate e come si correggono?
Le falle interessano ColdFusion 2025 Update 9 e precedenti e ColdFusion 2023 Update 20 e precedenti. Adobe le ha corrette in ColdFusion 2025 Update 10 e 2023 Update 21; applicate quegli aggiornamenti e seguite la guida di lockdown di Adobe. La falla di Campaign Classic (CVE-2026-48286) riguarda la build on-premises 9396 e precedenti ed è corretta nella build 9397.
Queste vulnerabilità di ColdFusion vengono sfruttate?
Alla divulgazione Adobe ha dichiarato di non essere a conoscenza di exploit pubblici per queste specifiche falle, ma ha assegnato la sua massima valutazione, Priorità 1, ed esortato ad aggiornare entro 72 ore. ColdFusion è storicamente preso di mira poco dopo il rilascio delle correzioni perché gli aggressori fanno reverse engineering della patch, quindi considerate breve la finestra tranquilla.
Perché ColdFusion non aggiornato è un vettore di compromissione così comune?
ColdFusion è un runtime più vecchio ancora ampiamente diffuso in finanza, assicurazioni e pubblica amministrazione, spesso su server esposti a Internet e lenti da aggiornare. Le sue falle consentono di frequente un caricamento di file o un path traversal pre-autenticazione che porta all'esecuzione di codice remoto, dando agli aggressori un punto d'appoggio da una singola richiesta non autenticata — ecco perché ricorre nei cataloghi delle vulnerabilità sfruttate.
Conviene continuare ad aggiornare ColdFusion o migrare?
Entrambe le cose, su orologi diversi. Applicate subito la patch e mettete ogni ColdFusion esposto a Internet dietro un WAF con virtual patching come controllo provvisorio. Poi trattate il flusso costante di falle di gravità massima come un motivo per pianificare una migrazione dal runtime legacy, partendo dai carichi di lavoro esposti a Internet e regolamentati.
Fonti
Adobe — Aggiornamento di sicurezza per ColdFusion (APSB26-68), 1° luglio 2026 (fonte primaria)
BleepingComputer — Adobe patches seven max severity ColdFusion, Campaign flaws, 1° luglio 2026
SecurityWeek — Adobe Patches Critical ColdFusion, Campaign Classic Vulnerabilities, 1° luglio 2026