게시판 ID
마지막 업데이트 날짜
2026년 8월 19일
Adobe ColdFusion에 사용할 수 있는 보안 업데이트 | APSB26-90
|
|
게시 날짜 |
우선 순위 |
|
APSB26-90 |
2026년 8월 11일 |
1 |
요약
해당하는 버전
|
제품 |
업데이트 번호 |
플랫폼 |
|
ColdFusion 2025 |
2025.0.11 및 이전 버전 |
모두 |
|
ColdFusion 2023 |
2023.0.22 및 이전 버전 |
모두 |
해결 방법
Adobe는 이 업데이트를 다음과 같은 우선 순위 등급으로 분류하고 사용자가 최신 버전으로 업데이트할 것을 권장합니다.
메모
보안상의 이유로 최신 mysql Java 커넥터를 사용할 것을 강력히 권장합니다. 사용에 대한 자세한 내용은 https://helpx.adobe.com/kr/coldfusion/kb/coldfusion-configuring-mysql-jdbc.html을 참조하십시오.
안전하지 않은 역직렬화 공격으로부터 보호하는 방법에 대한 자세한 내용은 업데이트된 직렬 필터 설명서(https://helpx.adobe.com/kr/coldfusion/kb/coldfusion-serialfilter-file.html)를 참조하십시오.
취약성 세부 정보
| 취약점 카테고리 | 취약성 영향 | 심각도 | CVSS 기본 점수 | CVSS 벡터 | CVE 번호 |
OS 명령('OS 명령 주입')에 사용된 특수 요소의 부적절한 무력화(CWE-78) |
임의 코드 실행 |
중요 |
10.0 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
CVE-2026-48362 |
동적으로 평가되는 코드의 지시문에 대한 부적절한 무력화('Eval Injection')(CWE-95) |
임의 코드 실행 |
중요 |
9.9 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
CVE-2026-48273 |
잘못된 인증(CWE-863) |
애플리케이션 서비스 거부 |
중요 |
9.6 |
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
CVE-2026-71384 |
XSS(크로스 사이트 스크립팅)(CWE-79) |
임의 코드 실행 |
중요 |
8.8 |
CVSS:3.1/AV:A/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H |
CVE-2026-71386 |
잘못된 입력 유효성 검사(CWE-20) |
권한 승격 |
중요 |
8.7 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N |
CVE-2026-21273 |
잘못된 인증(CWE-863) |
임의 코드 실행 |
중요 |
8.8 |
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2026-71387 |
잘못된 인증(CWE-863) |
보안 기능 무시 |
중요 |
8.4 |
CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2026-71385 |
하드 코딩된 암호화 키 사용(CWE-321) |
보안 기능 무시 |
중요 |
8.2 |
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N |
CVE-2026-34635 |
힙 기반 버퍼 오버플로(CWE-122) |
임의 코드 실행 |
중요 |
8.1 |
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2026-48440 |
잘못된 입력 유효성 검사(CWE-20) |
보안 기능 무시 |
중요 |
8.1 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N |
CVE-2026-21279 |
잘못된 인증(CWE-863) |
권한 승격 |
중요 |
7.8 |
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
CVE-2026-25652 |
손상되었거나 위험한 암호화 알고리즘 사용(CWE-327) |
메모리 노출 |
중요 |
7.5 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2026-48386 |
잘못된 인증(CWE-863) |
보안 기능 무시 |
Important |
7.3 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L |
CVE-2026-71383 |
잘못된 인증(CWE-863) |
애플리케이션 서비스 거부 |
Important |
6.5 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H |
CVE-2026-48375 |
출력의 부적절한 인코딩 또는 이스케이프(CWE-116) |
보안 기능 무시 |
Important |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L |
CVE-2026-48376 |
잘못된 입력 유효성 검사(CWE-20) |
보안 기능 무시 |
Important |
4.9 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H |
CVE-2026-48384 |
메모
2026년 8월 11일부터 Adobe는 릴리스에 시스템적 수정 사항이 포함될 때 동일한 심각도 등급 및 CWE 카테고리를 가진 내부적으로 발견된 취약점에 단일 CVE 식별자를 할당할 수 있습니다.
감사의 말:
AnirudhAnand(a0xnirudh) — CVE-2026-71386
Matan Sandori (matans1) — CVE-2026-71384
Brennan D St. John (brennanstjohn) — CVE-2026-71387
메모
보안을 위해 ColdFusion JDK/JRE LTS 버전을 최신 업데이트 릴리스로 업데이트하는 것이 좋습니다. ColdFusion 다운로드 페이지는 아래 정보에 따라 설치에서 지원하는 JDK 버전에 대한 최신 Java 설치 프로그램을 포함하도록 정기적으로 업데이트됩니다.
외부 JDK를 사용하는 방법에 대한 지침은 ColdFusion JVM 변경을 참조하십시오.
또한 ColdFusion 보안 설명서에 포함된 내용에 따라 보안 구성 설정을 적용하고, 해당 Lockdown 안내서를 검토하는 것이 좋습니다.
ColdFusion JDK 요구 사항
COLDFUSION 2025(버전 2023.0.0.331385) 이상
애플리케이션 서버용
JEE 설치에서 다음 JVM 플래그 "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; "를 사용 중인 애플리케이션 서버 유형에 따라 해당 시작 파일에 설정합니다.
예:
Apache Tomcat 애플리케이션 서버: 'Catalina.bat/sh' 파일에서 JAVA_OPTS를 편집합니다
WebLogic 애플리케이션 서버: 'startWeblogic.cmd' 파일에서 JAVA_OPTIONS를 편집합니다
WildFly/EAP 애플리케이션 서버: 'standalone.conf' 파일에서 JAVA_OPTS를 편집합니다
독립형 설치가 아닌 ColdFusion의 JEE 설치 시 JVM 플래그를 설정합니다.
COLDFUSION 2023(버전 2023.0.0.330468) 이상
애플리케이션 서버용
JEE 설치에서 다음 JVM 플래그 '-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;'를 사용 중인 애플리케이션 서버 유형에 따라 해당 시작 파일에 설정합니다.
예:
Apache Tomcat 애플리케이션 서버: 'Catalina.bat/sh' 파일에서 JAVA_OPTS를 편집합니다
WebLogic 애플리케이션 서버: 'startWeblogic.cmd' 파일에서 JAVA_OPTIONS를 편집합니다
WildFly/EAP 애플리케이션 서버: 'standalone.conf' 파일에서 JAVA_OPTS를 편집합니다
독립형 설치가 아닌 ColdFusion의 JEE 설치 시 JVM 플래그를 설정합니다.
COLDFUSION 2021(버전 2021.0.0.323925) 이상
애플리케이션 서버
JEE 설치에서 다음 JVM 플래그 "-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;"를 설정합니다.
를 설정합니다.
예:
Apache Tomcat 애플리케이션 서버: 'Catalina.bat/sh' 파일의 JAVA_OPTS를 편집합니다.
WebLogic 애플리케이션 서버: 'startWeblogic.cmd' 파일의 JAVA_OPTIONS를 편집합니다.
WildFly/EAP 애플리케이션 서버: 'standalone.conf' 파일의 JAVA_OPTS를 편집합니다.
독립형 설치가 아닌 ColdFusion의 JEE 설치 시 JVM 플래그를 설정합니다.
자세한 내용은 https://helpx.adobe.com/kr/security.html을 방문하거나 PSIRT@adobe.com으로 이메일을 보내십시오.
