Bollettino sulla sicurezza di Adobe

Cerca

Ultimo aggiornamento il 22 apr 2026

Aggiornamenti di sicurezza disponibili per Adobe ColdFusion | APSB26-38

ID bollettino	Data di pubblicazione	Priorità
APSB26-38	14 aprile 2026	1

Riepilogo

Adobe ha rilasciato aggiornamenti di sicurezza per le versioni 2025 e 2023 di ColdFusion. Questi aggiornamenti risolvono vulnerabilità critiche e moderate che potrebbero causare esecuzione di codice arbitrario, denial-of-service dell'applicazione, lettura arbitraria del file system e bypass delle funzionalità di sicurezza.

 Adobe non è a conoscenza di exploit delle vulnerabilità oggetto di questi aggiornamenti.

Versioni interessate

Prodotto	Numero aggiornamento	Piattaforma
ColdFusion 2025	Aggiornamento 6 e versioni precedenti	Tutte
ColdFusion 2023	Aggiornamento 18 e versioni precedenti	Tutte

Soluzione

Adobe classifica questi aggiornamenti in base ai seguenti livelli di priorità e consiglia agli utenti di aggiornare le proprie installazioni alle versioni più recenti:

Prodotto	Versione aggiornata	Piattaforma	Livello di priorità	Disponibilità
ColdFusion 2025	Aggiornamento 7	Tutte	1	Nota tecnica
ColdFusion 2023	Aggiornamento 19	Tutte	1	Nota tecnica

Nota:

Per motivi di sicurezza, si consiglia vivamente di utilizzare il connettore mysql java più recente. Per ulteriori informazioni sul suo utilizzo, consulta: https://helpx.adobe.com/coldfusion/kb/coldfusion-configuring-mysql-jdbc.html

Consulta la documentazione aggiornata del filtro seriale per maggiori dettagli sulla protezione contro gli attacchi di deserializzazione non sicura: https://helpx.adobe.com/coldfusion/kb/coldfusion-serialfilter-file.html

Dettagli della vulnerabilità

Categoria della vulnerabilità	Impatto della vulnerabilità	Gravità	Punteggio base CVSS	Vettore CVSS	Codici CVE
Limitazione non corretta di un percorso a una directory con restrizioni ("Path Traversal") (CWE-22)	Aggiramento della funzione di sicurezza	Critico	7,7	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H	CVE-2026-34619
Convalida dell’input non corretta (CWE-20)	Esecuzione di codice arbitrario	Critico	9.3	CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N	CVE-2026-27304
Limitazione non corretta di un percorso a una directory con restrizioni ("Path Traversal") (CWE-22)	Lettura di file system arbitraria	Critica	8.6	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N	CVE-2026-27305
Convalida dell’input non corretta (CWE-20)	Aggiramento della funzione di sicurezza	Critico	7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N	CVE-2026-27282
Convalida dell’input non corretta (CWE-20)	Esecuzione di codice arbitrario	Critico	8.4	CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2026-27306
Consumo di risorse non controllato (CWE-400)	Attacco Denial of Service all’applicazione	Moderata	2.4	CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:L	CVE-2026-27307
Consumo di risorse non controllato (CWE-400)	Attacco Denial of Service all’applicazione	Moderata	2.4	CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:L	CVE-2026-27308

Ringraziamenti:

Adobe desidera ringraziare i seguenti ricercatori per la collaborazione e per aver segnalato i problemi specifici, contribuendo così a proteggere la sicurezza dei nostri clienti:   

AnirudhAnand (a0xnirudh) -- CVE-2026-27304
nbxiglk -- CVE-2026-27306
Jonathan Lein di TrendAI Research -- CVE-2026-27282, CVE-2026-34619, CVE-2026-27305
Idris_Tester092004 (tester092004) -- CVE-2026-27307, CVE-2026-27308

NOTA: Adobe dispone di un programma di bug bounty con HackerOne. Se ti interessa lavorare con Adobe come ricercatore esterno sulla sicurezza, visita: https://hackerone.com/adobe

Nota:

Adobe consiglia di aggiornare ColdFusion JDK/JRE LTS alla versione di aggiornamento più recente per maggiore sicurezza. La pagina dei download di ColdFusion viene regolarmente aggiornata per includere i più recenti programmi di installazione Java per la versione JDK supportata dall’installazione, come da matrici riportate sotto.

Per istruzioni su come utilizzare un JDK esterno, consultare Modificare JVM di ColdFusion.

Adobe consiglia inoltre di applicare le impostazioni di configurazione della protezione descritte nella pagina sulla sicurezza di ColdFusion, nonché di consultare la relativa Guida alla protezione.   

Requisiti JDK di ColdFusion

COLDFUSION 2025 (versione 2023.0.0.331385) e superiori
Per il server applicazioni

Sulle installazioni di JEE, imposta il seguente flag JVM, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; " nel rispettivo file di avvio a seconda del tipo di Application Server usato.

Ad esempio:
Server applicazioni Apache Tomcat: modifica JAVA_OPTS nel file ‘Catalina.bat/sh’
Server applicazioni WebLogic: modifica JAVA_OPTIONS nel file ‘startWeblogic.cmd’
Server applicazioni WildFly/EAP: modifica JAVA_OPTS nel file ‘standalone.conf’
Imposta i flag JVM su un’installazione JEE di ColdFusion, non un’installazione standalone.

COLDFUSION 2023 (versione 2023.0.0.330468.331385) e superiori
Per il server applicazioni

Sulle installazioni di JEE, imposta il seguente flag JVM, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; " nel rispettivo file di avvio a seconda del tipo di Application Server usato.

COLDFUSION 2021 (versione 2021.0.0.323925) e versioni successive

Per i server di applicazioni  

Sulle installazioni JEE, inserisci il seguente flag JVM, "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;"

nel relativo file di avvio in base al tipo di server applicazioni in uso.

Ad esempio:  

Server applicazioni Apache Tomcat, modifica JAVA_OPTS nel file 'Catalina.bat/sh'  

Server applicazioni WebLogic: modifica JAVA_OPTIONS nel file 'startWeblogic.cmd'  

Server applicazioni WildFly/EAP: modifica JAVA_OPTS nel file 'standalone.conf'  

Imposta i flag JVM su una installazione JEE di ColdFusion, non una installazione standalone.  

Per ulteriori informazioni visita https://helpx.adobe.com/it/security.html o invia un’e-mail a PSIRT@adobe.com

Ottieni supporto in modo più facile e veloce

Nuovo utente?