Badan Keamanan Siber dan Infrastruktur AS (CISA) telah memerintahkan lembaga pemerintah untuk menambal kelemahan tingkat keparahan maksimum yang dieksploitasi secara aktif dalam platform pengembangan aplikasi web komersial Adobe ColdFusion pada hari Jumat.
Kerentanan (CVE-2026-48282) memengaruhi ColdFusion versi 2025.9, 2023.20, dan sebelumnya, dan dapat dieksploitasi oleh pelaku ancaman jarak jauh tanpa hak istimewa dalam serangan dengan kompleksitas rendah untuk mendapatkan eksekusi kode pada sistem yang belum dipatch.
Adobe merilis pembaruan keamanan satu minggu yang lalu untuk mengatasi kelemahan keamanan dan mendesak admin untuk segera menerapkan patch, dengan mengatakan bahwa hal tersebut menimbulkan risiko eksploitasi yang tinggi.
“Pembaruan ini menyelesaikan kerentanan yang menjadi sasaran, atau yang memiliki risiko lebih tinggi untuk menjadi sasaran, melalui eksploitasi di alam liar untuk versi produk dan platform tertentu,” kata perusahaan itu. “Adobe menyarankan administrator menginstal pembaruan sesegera mungkin. (misalnya, dalam waktu 72 jam).”
Pendiri KEVIntel Ryan Dewhurst memperingatkan dua hari setelah Adobe mengeluarkan patch bahwa penyerang mulai mengeksploitasi CVE-2026-48282 dalam waktu dua jam setelah pengungkapan Adobe, sementara Pusat Keamanan Siber Kanada (CCCS) memperingatkan mendorong pembela jaringan untuk mengamankan sistem mereka dari serangan yang sedang berlangsung ini.
Grup pengawas keamanan internet Shadowserver saat ini sedang melacak hampir 800 contoh Adobe ColdFusion terekspos secara online, namun tidak ada informasi mengenai berapa banyak honeypot atau yang telah diamankan dari serangan yang menargetkan kelemahan CVE-2026-48282.
Pada hari Selasa, CISA ditambahkan CVE-2026-48282 ke dalamnya daftar kerentanan yang dieksploitasi secara aktif dalam serangan dan memerintahkan badan-badan Cabang Eksekutif Sipil Federal (FCEB) AS untuk memperbaiki sistem mereka pada hari Jumat, 10 Juni, sebagaimana diwajibkan oleh Petunjuk Operasional yang Mengikat (BOD) 26-04.
BOD 26-04, yang mana diterbitkan bulan lalumengharuskan lembaga-lembaga federal untuk memprioritaskan patching berdasarkan apakah kelemahan tersebut disertakan dalam katalog KEV CISA, apakah eksploitasinya dapat diotomatisasi untuk serangan berskala besar, apakah aset-aset yang rentan terekspos secara online, dan apakah eksploitasi yang berhasil memberikan penyerang kendali sebagian atau seluruhnya atas perangkat yang ditargetkan.
Minggu lalu, Adobe juga menambal enam kelemahan dengan tingkat keparahan maksimum lainnya dalam pengembangan aplikasi web ColdFusion dan platform otomasi pemasaran Campaign Classic, yang semuanya ditandai sebagai berisiko tinggi menjadi sasaran.
Namun, perusahaan tersebut belum menandai salah satu dari mereka sebagai eksploitasi di alam liar, dengan mengatakan bahwa mereka “tidak mengetahui adanya eksploitasi di alam liar untuk masalah apa pun yang dibahas dalam pembaruan ini.”
Pada awal April, Adobe juga merilis pembaruan darurat untuk kerentanan Acrobat Reader (CVE-2026-34621) yang telah dieksploitasi sebagai zero-day sejak Desember 2025.
Sejak November 2021, CISA telah menambahkan 80 kerentanan pada produk Adobe ke dalam daftar kelemahan keamanan yang dieksploitasi secara aktif, 10 di antaranya juga telah disalahgunakan dalam serangan ransomware.
Uji setiap lapisan sebelum penyerang melakukannya
Tim keamanan mencatat 54% serangan yang berhasil dan hanya memberikan peringatan 14%. Sisanya bergerak melalui lingkungan Anda tanpa terlihat.
Whitepaper Picus menunjukkan bagaimana simulasi pelanggaran dan serangan menguji aturan SIEM dan EDR Anda sehingga ancaman berhenti lolos saat terdeteksi.
