黑客积极利用未打补丁的Adobe ColdFusion

黑客一直在积极瞄准Adobe ColdFusion中的漏洞，以远程执行代码并破坏服务器，领先的专家敦促用户立即更新到修补的版本。安全公司Rapid7警告说，它已经确定了至少从1月初开始的攻击活动，该活动已经破坏了多个组织的 ColdFusion 安装。它无法最终将这些攻击与任何特定漏洞联系起来，这意味着尚不清楚零日漏洞是否起作用。

Adobe 于3月14日发布了 ColdFusion2018和ColdFusion 2021的补丁，包括对远程代码执行漏洞的修复。Adobe 的安全警报称，该漏洞编号为CVE-2023-26360，“已在非常有限的针对 Adob​​e ColdFusion 的攻击中被利用”。

Adobe 建议所有用户安装 ColdFusion 2018 update 16或ColdFusion 2021 update 6来修复该漏洞。这些更新还修补了另外两个缺陷：一个严重漏洞——意味着它允许远程代码执行——通过反序列化不受信任的数据，指定为 CVE-2023-26359，以及一个路径遍历缺陷，指定为 CVE-2023-26361，评级为“重要”，这意味着它本身的风险较小，但可以与其他攻击联系在一起。[阅读原文]