ColdFusion CVE-2026-48282: explotación activa y plazo del CISA para agencias federales de EE. UU. vence hoy
La falla de path traversal en Adobe ColdFusion fue corregida el 30 de junio, pero los atacantes comenzaron a explotarla en dos horas. El CISA fijó el 10 de julio como plazo federal.
Path traversal con CVSS 10 y ventana corta de explotación
El CVE-2026-48282 es una falla de path traversal en Adobe ColdFusion clasificada con CVSS 10.0, la puntuación más alta. La vulnerabilidad fue corregida el 30 de junio, en el mismo paquete que trajo otras seis correcciones de máxima severidad en la plataforma. La ventana entre el parche y la explotación fue corta: investigadores de watchTowr publicaron un análisis técnico el 2 de julio y, según el servicio de threat intel KEVIntel, los primeros honeypots comenzaron a recibir intentos de explotación horas después. En otra lectura de la misma fuente, los ataques válidos comenzaron dentro de las dos horas posteriores al disclosure público.
La explotación solo funciona en servidores con Remote Development Services (RDS) habilitado y la autenticación de RDS desactivada. Esta combinación no es estándar de fábrica, pero es común en entornos legados de intranet y en copias de desarrollo que han sido olvidadas en producción. Adobe solicita una actualización inmediata a ColdFusion 2025 Update 10 o ColdFusion 2023 Update 21.
CISA fija plazo doméstico, sector privado global queda expuesto
El 7 de julio, el CISA agregó el CVE al catálogo de Vulnerabilidades Conocidas Explotadas. La Directiva Operativa Vinculante 26-04 obliga a las agencias civiles federales de EE. UU. a corregir el problema antes del 10 de julio, un plazo que vence este viernes. El compás doméstico es rígido, pero el sector privado global carece de una tutela equivalente y opera al ritmo de divulgación del proveedor.
No hay, hasta el cierre de este artículo, cliente corporativo nombrado como víctima confirmada. Ningún grupo de ransomware ha reivindicado el incidente hasta el momento y Adobe no se ha pronunciado públicamente sobre casos de explotación más allá del reconocimiento del CVE. Analistas de respuesta a incidentes describen el patrón observado como scan-and-drop, con carga de webshell seguida de ejecución remota bajo el privilegio del proceso de ColdFusion.
Lo que está confirmado sobre el vector
El ataque explota la manipulación de path para escribir archivos fuera del web root, lo que abre camino para el despliegue de webshell y ejecución remota. SecurityWeek y Bleeping Computer describen el patrón de explotación observado, y reportes de threat intel apuntan a la dirección IP 103.207.14.220, ubicada en India, como origen de los primeros escaneos. No hay atribución pública a un grupo específico.
Adobe clasificó la cola de corrección como prioridad 1, la etiqueta más alta de su esquema interno. Esto indica un alto riesgo de explotación y recomendación de parche en hasta 72 horas a partir del disclosure. Para servidores expuestos a internet en este intervalo, Adobe solicita búsqueda de indicadores como archivos no autorizados bajo el web root y bajo el directorio /CFIDE/.
Por qué ColdFusion sigue siendo objetivo en 2026
Adobe posicionó la plataforma como vehículo de desarrollo rápido para intranets y portales gubernamentales. La base instalada no es grande en número, pero concentra activos sensibles. En los últimos dos años, ColdFusion ha acumulado al menos cinco entradas en el catálogo KEV, incluyendo el CVE-2024-53961, explotado en 2024 en el mismo patrón de path traversal. Latest Hacking News clasificó la secuencia como "fallo de diseño, no mala suerte" en un análisis publicado el 8 de julio. La crítica arquitectónica es dura pero se sostiene por la repetición del vector.
Para el comprador, la decisión práctica es entre parche inmediato y migración planificada. Migrar un portal ColdFusion a una stack moderna suele costar entre 400 mil y 2 millones de dólares, dependiendo del volumen de CFML custom, lo que explica la supervivencia de activos legados dentro de la ventana de riesgo. El catálogo KEV sirve, en la práctica, como el cronómetro que fuerza a la junta a ver el coste del aplazamiento.
Lo que cambia para el CISO en dos mercados
En EE. UU., la lectura es operacional: el plazo del CISA vale para la agencia federal, pero los contratos B2B con el gobierno generalmente exigen paridad de parche. Si su compañía atiende a un cliente federal, el ciclo de auditoría de la próxima RFP preguntará por esta corrección. Vale la pena ejecutar un inventario interno hoy para localizar servidores ColdFusion olvidados en subsidiarias.
En el Reino Unido, el NCSC emitió una comunicación con el mismo texto de urgencia para agencias de Whitehall y consejos locales, sin BOD equivalente. Los bancos británicos con intranets legadas en ColdFusion reciben la misma orientación por camino voluntario; el volumen de parches en las próximas 72 horas será el proxy de lectura para el buy side londinense. En India, la coincidencia de la IP de origen con la región donde se encuentran los mayores centros de entrega de MSSP del subcontinente merece atención: si la misma infraestructura se reutiliza en otras campañas, el coste de contenedor crece para el cliente asiático que subcontrata SOC. El activo antiguo tiene coste político, y el cronómetro del KEV está corriendo.