Adobe ColdFusion recebe correções urgentes contra falhas críticas de execução remota de código

O Adobe ColdFusion não é um framework moderno, é uma plataforma legada com motor Java que ainda roda em centenas de sistemas críticos no Brasil, especialmente em órgãos públicos e bancos que mantêm aplicações CFML desde os anos 2000. O RDS (Remote Development Services) nunca foi projetado para produção: é um serviço de depuração que, se habilitado sem autenticação, vira uma porta aberta direta para o sistema operacional. A falha CVE-2026-48313, por exemplo, não exige credenciais nem interação com código CFML, basta um POST para /CFIDE/main/ide.cfm com um payload de path traversal no protocolo binário RDS. E como o CKEditor integrado roda com privilégios NT AUTHORITY\SYSTEM, qualquer upload malicioso vira shell completo.

Isso não é teórico: o watchTowr Labs já observou exploração ativa em ambientes reais, e a Adobe não divulgou detalhes técnicos dos exploits porque o RDS está desativado por padrão, mas muitos administradores o reativam para manutenção remota sem perceber o risco. O patch não remove o RDS, só adiciona validação canônica no caminho, o que falha se o servidor tiver configurações de montagem de volume ou symbolic links fora do controle do ColdFusion.

A CEVIU já havia reportado, na mesma data (2026-07-03), que a Adobe corrigiu 'sete falhas críticas' no ColdFusion, mas sem detalhar o vetor RDS FILEIO nem a escalada via CKEditor. Agora sabemos que dessas sete, pelo menos cinco são explorações diretas do RDS não autenticado (CVE-2026-48276, -48282, -48313, -48314, -48315), e duas envolvem o CKEditor com privilégios de sistema. Antes, a cobertura tratava as falhas como genéricas de 'execução remota'. Hoje, o relatório do watchTowr mostra que elas são específicas de um fluxo de desenvolvimento antigo, mal configurado, e que permite bypass total de autenticação, algo que não aparecia nos comunicados oficiais da Adobe.

Empresas brasileiras ainda usam ColdFusion em sistemas fiscais, de nota fiscal eletrônica e de integração com SEFAZ, muitos sem atualização desde 2023. Um único servidor com RDS ativo e sem senha pode ser usado para extrair chaves de API, ler arquivos de conexão com bancos, ou injetar webshells em diretórios acessíveis via HTTP. Não é questão de 'quem ainda usa', mas de 'quem não sabe que ainda usa'. E como o patch exige reinicialização do serviço e testes de compatibilidade com CFML legado, muitos adiam a correção, deixando janelas abertas para ransomware ou espionagem.