Adobe corrige sete falhas críticas no ColdFusion e Campaign

A Adobe corrigiu sete falhas de severidade máxima em duas plataformas críticas para ambientes corporativos on-premises: ColdFusion e Campaign Classic. Seis delas atingem versões antigas do ColdFusion (2025.9, 2023.20 e anteriores), permitindo execução remota de código (RCE) sem autenticação e sem interação do usuário, um cenário perfeito para invasões em massa. A sétima, CVE-2026-48286, afeta apenas instâncias on-premises do Campaign Classic (v7.4.3 build 9396 ou anteriores), não as hospedadas pela Adobe. Isso é crucial: quem roda Campaign localmente está exposto; quem usa a nuvem da Adobe já está protegido.

O termo 'on-premises' aqui não é jargão, é uma arquitetura real com implicações operacionais diretas. Significa que o software roda em servidores físicos ou virtuais sob controle total do cliente, sem dependência da infraestrutura da Adobe. Isso dá flexibilidade, mas transfere toda a responsabilidade de atualização, hardening e monitoramento para a equipe interna. E nesse caso, a falha permite RCE no contexto do usuário atual, ou seja, se o serviço estiver rodando como root ou administrador, o atacante herda esse nível de privilégio.

Em abril, a Adobe já havia reagido a duas explorações ativas: uma zero-day no Acrobat Reader (CVE-2026-34621) explorada desde dezembro e outra falha em PDFs usada por meses antes da correção fonte. Agora, em julho, ela muda o ritmo estrutural: passa de boletins mensais para publicações quinzenais, às terças-feiras da segunda e quarta semana, para acelerar respostas. Essa mudança não é só tática: é uma resposta direta ao aumento de alvos em ambientes on-premises, como mostram os casos recentes da Ubiquiti (junho) e Ivanti (junho), ambos com RCE não autenticado em sistemas locais.

Essas falhas não são teóricas. Em cinco anos, a CISA listou 79 vulnerabilidades do Adobe como ativamente exploradas, 10 delas usadas por ransomware. ColdFusion ainda é usado em sistemas legados de bancos, órgãos públicos e grandes empresas brasileiras, muitos sem inventário atualizado. Campaign Classic on-premises aparece em campanhas de marketing críticas, com acesso a bases de dados sensíveis. Uma única máquina comprometida pode ser o ponto de entrada para movimento lateral, exfiltração de dados ou implantação de ransomware, especialmente porque nenhuma dessas falhas exige clique, login ou engenharia social.