Chi gestisce un server Adobe ColdFusion esposto in rete ha una sola priorità in questi giorni: verificare la versione installata e, se necessario, disattivare il servizio RDS. Il 7 luglio 2026 diverse società di intelligence sulle minacce hanno confermato lo sfruttamento attivo di CVE-2026-48282, una vulnerabilità a cui Adobe ha assegnato il punteggio massimo, CVSS 10.0. La CISA statunitense l'ha inserita nel catalogo Known Exploited Vulnerabilities (KEV) e ha ordinato alle agenzie federali di applicare la correzione entro il 10 luglio: un termine stretto che riflette la gravità del problema e che vale come segnale d'allarme per chiunque, in qualsiasi Paese.

Cosa è successo

La falla è una path traversal (attraversamento di directory) nel gestore FILEIO dei Remote Development Services (RDS) di ColdFusion. RDS è una funzione nata per permettere agli strumenti di sviluppo di dialogare con il server tramite chiamate HTTP; tra i servizi esposti, FILEIO consente di leggere, scrivere, copiare ed eliminare file da remoto. A causa di una validazione insufficiente dei percorsi, un attaccante non autenticato può uscire dai confini della directory prevista e scrivere file arbitrari in qualsiasi punto del filesystem, compresa la web root del server. Scrivendo un file CFML eseguibile nella web root, la scrittura di file si trasforma in esecuzione di codice remoto (RCE) completa e senza credenziali.

Sono interessate le versioni ColdFusion 2025.9, 2023.20 e precedenti. Perché l'exploit funzioni devono verificarsi due condizioni: RDS abilitato e autenticazione RDS disattivata. È un dettaglio importante, ma va letto con attenzione. RDS non è attivo nella configurazione predefinita, tuttavia è frequente trovarlo acceso su server nati come ambienti di sviluppo o test e poi passati in produzione senza una revisione della configurazione. In quei casi la protezione "di default" semplicemente non esiste più.

Il dato più preoccupante è la velocità. Secondo l'intelligence che monitora le reti di honeypot, lo sfruttamento in rete è stato osservato entro circa due ore dalla pubblicazione dei dettagli tecnici. È una finestra troppo breve perché la maggior parte delle organizzazioni possa reagire con un ciclo di patching ordinario: chi non era già pronto è stato colto in mezzo al guado.

Cosa significa per le aziende italiane

ColdFusion ha una presenza radicata in applicazioni legacy che in Italia sopravvivono in molti gangli della pubblica amministrazione, del settore bancario-assicurativo e di aziende con portali web sviluppati anni fa e mai dismessi. Sono proprio questi i contesti più esposti: piattaforme mature, spesso poco presidiate, con cicli di aggiornamento lenti e documentazione della configurazione incompleta. Il fatto che RDS non sia attivo "di default" offre una falsa rassicurazione, perché la realtà dei parchi server italiani è fatta di migrazioni development-to-production frettolose, di ambienti clonati e di impostazioni ereditate che nessuno ha più rivisto.

Il rischio concreto non è solo il defacement o l'esfiltrazione dei dati contenuti nell'applicazione. Una RCE non autenticata su un server web è un punto d'appoggio ideale per il movimento laterale: da lì un attaccante può raggiungere i database applicativi, raccogliere credenziali e, nei casi peggiori, preparare un attacco ransomware sull'intera infrastruttura. Le webshell CFML sono facili da nascondere fra i file legittimi di un sito ColdFusion, e la loro individuazione richiede un controllo puntuale della web root e della directory /CFIDE/.

Sul piano normativo, per i soggetti che rientrano nel perimetro NIS2 (recepita in Italia con il D.lgs. 138/2024) la gestione tempestiva di una vulnerabilità nota e sfruttata attivamente è un obbligo, non una facoltà. Un server ColdFusion compromesso che tratta dati aziendali o personali può configurare un incidente significativo, con notifica al CSIRT Italia entro le 24 ore per il pre-allarme e le 72 ore per la notifica completa. Se sono coinvolti dati personali scatta in parallelo l'obbligo GDPR di notifica al Garante entro 72 ore.

Cosa fare subito

  • Applicare gli aggiornamenti correttivi: ColdFusion 2025 Update 10 oppure ColdFusion 2023 Update 21, che sostituiscono le classi vulnerabili nel runtime Java. È la misura risolutiva.
  • Se non è possibile applicare subito la patch, disattivare RDS dal pannello ColdFusion Administrator (Security > RDS) oppure commentare le relative servlet nel file web.xml: così si rimuove l'endpoint /CFIDE/main/ide.cfm e si neutralizza il vettore d'attacco.
  • Non esporre gli endpoint amministrativi su Internet: i server ColdFusion non devono essere raggiungibili da reti non fidate.
  • Cercare indicatori di compromissione: file non autorizzati o webshell nella web root e nella cartella /CFIDE/, e verificare l'integrità dei file di configurazione.
  • Attivare il file integrity monitoring e gli alert SIEM sulle scritture anomale nelle directory del sito.
  • In caso di compromissione confermata o sospetta, ruotare le credenziali amministrative, di database e applicative.