Бюллетень безопасности Adobe

Поиск

Последнее обновление 24 апр. 2026 г.

Обновления системы безопасности для Adobe ColdFusion | APSB26-38

Идентификатор бюллетеня	Дата публикации	Приоритет
APSB26-38	14 апреля 2026 г.	1

Сводка

Компания Adobe выпустила обновление системы безопасности для ColdFusion версий 2025 и 2023. В этих обновлениях устранены критические и важные уязвимости, которые могли привести к выполнению произвольного кода, отказу приложения, произвольному чтению файловой системы и обходу функций безопасности.

 Adobe не имеет информации о свободном характере использования этих проблем в данных обновлениях.

Затронутые версии

Продукт	Номер обновления	Платформа
ColdFusion 2025	Обновление 6 и более ранних версий	Все
ColdFusion 2023	Обновление 18 и более ранних версий	Все

Решение

Adobe категоризирует эти обновления при помощи рейтингов приоритета и рекомендует пользователям обновлять установленное ПО до последних версий:

Продукт	Обновленная версия	Платформа	Рейтинг приоритета	Доступность
ColdFusion 2025	Обновление 7	Все	1	Техническое примечание
ColdFusion 2023	Обновление 19	Все	1	Техническое примечание

Примечание.

В целях безопасности мы настоятельно рекомендуем использовать последнюю версию программы MySQL Java Connector. Для получения более подробной информации о ее использовании см. страницу https://helpx.adobe.com/ru/coldfusion/kb/coldfusion-configuring-mysql-jdbc.html

Более подробную информацию о защите от атак по небезопасной десериализации см. в обновленной документации по серийному фильтру на странице https://helpx.adobe.com/ru/coldfusion/kb/coldfusion-serialfilter-file.html

Сведения об уязвимости

Категория уязвимости	Влияние уязвимости	Серьезность	Базовая оценка CVSS	Вектор CVSS	Номера CVE
Выход за пределы назначенного каталога ("обход каталога") (CWE-22)	Обход функции безопасности	Критическая	7,7	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H	CVE-2026-34619
Неправильная проверка ввода (CWE-20)	Выполнение произвольного кода	Критическая	9,3	CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N	CVE-2026-27304
Выход за пределы назначенного каталога ("обход каталога") (CWE-22)	Чтение в произвольной файловой системе	Критическая	8.6	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N	CVE-2026-27305
Неправильная проверка ввода (CWE-20)	Обход функции безопасности	Критическая	7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N	CVE-2026-27282
Неправильная проверка ввода (CWE-20)	Выполнение произвольного кода	Критическая	8.4	CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2026-27306
Неконтролируемое потребление ресурсов (CWE-400)	Отказ в обслуживании приложения	Средняя	2.4	CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:L	CVE-2026-27307
Неконтролируемое потребление ресурсов (CWE-400)	Отказ в обслуживании приложения	Средняя	2.4	CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:L	CVE-2026-27308

Благодарности:

Компания Adobe выражает благодарность следующим исследователям за сообщение об этой проблеме и за помощь Adobe в защите наших клиентов:   

AnirudhAnand (a0xnirudh) — CVE-2026-27304
nbxiglk — CVE-2026-27306
Jonathan Lein из TrendAI Research — CVE-2026-27282, CVE-2026-34619, CVE-2026-27305
Idris_Tester092004 (tester092004) — CVE-2026-27307, CVE-2026-27308

ПРИМЕЧАНИЕ: Adobe имеет частную программу Bug bounty с HackerOne. Если вы заинтересованы в сотрудничестве с Adobe в качестве внешнего исследователя безопасности, зайдите на наш сайт: https://hackerone.com/adobe

Примечание.

В целях безопасности Adobe рекомендует обновить ColdFusion JDK/JRE версии LTS до последней версии выпуска. Страница загрузки ColdFusion регулярно обновляется и включает в себя последние версии инсталляторов Java для JDK, поддерживаемых вашей установкой, в соответствии с приведенными ниже матрицами.

Инструкции по использованию внешнего JDK см. на сайте Change ColdFusion JVM.

Компания Adobe рекомендует применять параметры конфигурации безопасности, приведенные в документации ColdFusion Security, а также ознакомиться с соответствующими руководствами Lockdown.   

Требования для набора средств ColdFusion JDK

COLDFUSION 2025 (версия 2023.0.0.331385) и выше
Для серверов приложений

В настройках JEE установите следующий флаг JVM “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; " в соответствующем файле запуска в зависимости от типа используемого сервера приложений.

Например:
Сервер приложений Apache Tomcat: отредактируйте JAVA_OPTS в файле «Catalina.bat/sh»
Сервер приложений WebLogic: отредактируйте JAVA_OPTIONS в файле «startWeblogic.cmd»
Сервер приложений WildFly/EAP: отредактируйте JAVA_OPTS в файле «standalone.conf»
Установите флаги JVM при установке JEE для ColdFusion, а не для автономной установки.

COLDFUSION 2023 (версия 2023.0.0.330468) и выше
Для серверов приложений

В настройках JEE установите следующий флаг JVM “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; " в соответствующем файле запуска в зависимости от типа используемого сервера приложений.

COLDFUSION 2021 (версия 2021.0.0.323925) и выше

Для серверов приложений  

В настройках JEE установите следующий флаг JVM “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;"

в соответствующем файле запуска в зависимости от типа используемого сервера приложений.

Например:  

На сервере приложений Apache Tomcat измените раздел JAVA_OPTS в файле Catalina.bat/sh  

На сервере приложений WebLogic измените раздел JAVA_OPTIONS в файле startWeblogic.cmd  

На сервере приложений WildFly/EAP измените раздел JAVA_OPTS в файле standalone.conf  

Установите флаги JVM при установке JEE для ColdFusion, а не для автономной установки.  

Для получения дополнительной информации посетите сайт https://helpx.adobe.com/ru/security.html или отправьте сообщение по адресу PSIRT@adobe.com

Получайте помощь быстрее и проще

Новый пользователь?