Adobe corrige sete falhas críticas de segurança no ColdFusion e Campaign Classic

O modelo de implantação on-premises é um projeto de infraestrutura em que softwares são instalados e executados diretamente nos servidores locais da empresa, sem dependência de nuvem terceirizada. Ele serve organizações que exigem controle absoluto sobre dados, personalização profunda e conformidade com leis como LGPD ou normas setoriais rígidas. Mas essa autonomia tem custo: cada atualização de segurança precisa ser aplicada manualmente pelo time interno. Isso cria uma janela de exposição real entre o lançamento do patch e sua instalação, janela que atacantes exploram com ferramentas de IA para automatizar exploração em massa.

A falha CVE-2026-48286 no Campaign Classic é um exemplo claro dessa vulnerabilidade estrutural: ela afeta apenas instâncias on-premises (ou componentes locais em ambientes híbridos), pois as versões hospedadas pela Adobe já foram corrigidas automaticamente. Já no ColdFusion, seis falhas críticas permitem execução remota de código sem autenticação nas versões 2025.9 e 2023.20 ou anteriores, mas a Adobe não lançou correção para a versão obsoleta 2021, deixando quem ainda a usa exposto sem alternativa técnica viável.

Em abril, a Adobe corrigiu uma falha zero-day no Acrobat Reader (CVE-2026-34621) explorada desde dezembro. Agora, em julho, ela corrige sete novas falhas críticas, mas com uma mudança estratégica: passa de boletins mensais para quinzenais a partir de 14/07/2026. Isso não é só ritmo novo: é reconhecimento de que a velocidade de exploração mudou. A CISA já listou 79 falhas Adobe como ativamente exploradas nos últimos cinco anos, e dez delas alimentaram ransomware. O ciclo mais curto é uma resposta direta a isso, não uma simples otimização operacional.

Para equipes de TI e governança, essa atualização não é só sobre instalar um patch. É um teste prático de maturidade em gestão de risco: quantos ambientes on-premises ainda rodam ColdFusion 2021? Quantos times têm processo documentado para aplicar correções de segurança em menos de 72 horas, como exige a Adobe? E quantos já migraram para modelos de consumo baseados em SaaS, onde a responsabilidade de atualização é compartilhada ou transferida? Falhas como essas não revelam apenas bugs de código, revelam lacunas reais na arquitetura de governança de aplicações legadas.