Adobe ColdFusion CVE-2026-48283/CVE-2026-48313 预认证漏洞分析

导语：2026年6月30日，Adobe ColdFusion 安全公告（APSB26-68）一次性披露了11个漏洞，其中7个CVSS评分达到满分10.0。值得注意的是，CVE-2026-48283和CVE-2026-48313两个预认证漏洞已由安全研究员安尼鲁德·阿南德（Anirudh Anand）独立发现并上报，攻击者无需任何身份凭证即可实现任意文件上传或任意文件读取。对于国内政府、金融、大型企业中大量遗留部署的ColdFusion服务器而言，这无异于在防火墙墙上凿开了两个洞。

一、漏洞概述

1.1 事件背景

Adobe ColdFusion 是一款基于 CFML（ ColdFusion Markup Language）脚本语言的快速 Web 应用开发平台，广泛应用于企业级 Web 应用的后端运行时。它运行在 Java 引擎之上，介于 Web 服务器与后端数据库、文件系统、API 之间，负责将 CFML 标签转化为可执行逻辑并动态生成 Web 内容。

2026年6月30日，Adobe 发布了 APSB26-68 安全公告，一口气修复了 ColdFusion 2025 和 ColdFusion 2023 两个主要版本的11个漏洞。其中最引人注目的，就是两个预认证（Pre-Authentication）漏洞——CVE-2026-48283 和 CVE-2026-48313。攻击者只需构造特定 HTTP 请求，无需登录即可触发漏洞，实现远程代码执行或敏感文件窃取。

安全研究员 Sina Kheirkhah（来自 watchTowr Labs）对补丁进行对比分析后发现，这两个漏洞实际上共用了同一处代码缺陷——RDS（Remote Development Services，远程开发服务）模块和 CKEditor 文件管理器缺乏充分的路径验证，攻击者可通过路径遍历（Path Traversal）跳出安全边界为所欲为。

1.2 受影响版本

受影响的 ColdFusion 版本覆盖了当前所有受支持的发行版：

ColdFusion 2025（Update 9 及更早版本）
ColdFusion 2023（Update 20 及更早版本）

修复版本分别为 ColdFusion 2025 Update 10 和 ColdFusion 2023 Update 21。Adobe 强烈建议所有客户立即升级。

二、技术分析

2.1 CVE-2026-48283：预认证任意文件上传（CVSS 10.0）

CVE-2026-48283 是本次安全公告中评分最高的漏洞之一，CVSS 3.1 评分达到满分 10.0，属于”无限制危险类型文件上传”（CWE-434）。问题出在 ColdFusion AJAX 目录下的 CKEditor 文件管理器中，具体为 /cf_scripts/scripts/ajax/ckeditor/plugins/filemanager/upload.cfm 这个上传接口。

在未修补的版本中，该上传接口对用户提交的 path 参数几乎没有任何过滤。攻击者只需在 path 参数中注入路径遍历载荷（../），就可以把任意类型文件（包括 JSP、CFM、WAR 等可执行格式）写入服务器任意位置。

watchTowr Labs 在对比补丁后发现，修补代码做了两处关键改动：

第一，新增了一批被禁止的文件扩展名。 补丁在 settings.cfm 中添加了 jspf、cfmail、war 等后缀到禁止上传列表——这意味着这些格式的文件在修补前是可以被上传并执行的，尤其是 WAR 文件，直接意味着拿到服务器 SYSTEM 权限。

第二，新增了路径遍历防护逻辑。 补丁在 upload.cfm 中引入了一段代码块，专门对上传路径进行规范化和验证，阻止 ../ 序列跳出允许目录。

需要特别注意的是：CKEditor 文件管理器在默认配置下是禁用上传功能的（variables.settings.AllowUploads = "false"），但管理员一旦启用该功能，上传端点就完全暴露在未认证的公网之下，不需要任何登录cookie或会话 token。一旦绕过路径限制，恶意文件会以 NT AUTHORITYSYSTEM（Windows）身份写入磁盘——这意味着攻击者直接拿到系统最高权限。

利用方式（路径遍历上传）：

POST /cf_scripts/scripts/ajax/ckeditor/plugins/filemanager/upload.cfm HTTP/1.1
Host: target-site:8500
Content-Type: multipart/form-data; boundary=----xxx
Content-Length: 368

------xxx
Content-Disposition: form-data; name="path"

home/../../../../../../../../../../../ColdFusion2025/cfusion/wwwroot/
------xxx
Content-Disposition: form-data; name="file"; filename="shell.war"
Content-Type: text/plain

<cfexecute name="cmd.exe" arguments="/c whoami" timeout="10">
------xxx--

攻击者利用路径遍历将 .war 文件写入 Web 根目录，然后通过 REST 接口触发部署，直接获得远程代码执行能力。

2.2 CVE-2026-48313：预认证路径遍历任意文件读取（CVSS 9.3）

CVE-2026-48313 是一个路径遍历漏洞（CWES-22），CVSS 评分 9.3，与 CVE-2026-48283 来自同一代码区域的另一个攻击面——RDS FILEIO 端点。

RDS 是 ColdFusion 的远程开发服务，允许开发者的 IDE（如 ColdFusion Builder、Dreamweaver 或 Eclipse 插件）通过 HTTP 与正在运行的 ColdFusion 服务器交互，可以浏览文件系统、执行数据库查询、辅助调试。从架构上看，每一个 RDS 请求都以 HTTP POST 发往 /CFIDE/main/ide.cfm，通过 ACTION 查询参数选择操作类型，由 RdsFrontEndServlet 分发到对应的处理器：

用户 → POST /CFIDE/main/ide.cfm?ACTION=FILEIO
     → RdsFrontEndServlet 查找 ACTION 对应的 Servlet
     → FileServlet 处理 READ/WRITE/RENAME/DELETE 等操作

RDS 协议本身设计得相当”复古”——每一个请求本质上就是一个长度前缀字段的序列，每个字段由4字节填充 + 十进制长度 + 冒号 + 原始数据组成。理解了协议格式之后，发起攻击就变得异常简单。

watchTowr Labs 的分析指出，在未修补版本中，FileServlet 的 FileReadOperator 将用户传入的文件名直接传递给 getFile(filename)，没有任何路径验证。攻击者可以传入绝对路径（如 C:Windowswin.ini）或使用 ../ 遍历目录，读取服务器上的任意文件。

利用方式（任意文件读取）：

POST /CFIDE/main/ide.cfm?ACTION=FILEIO HTTP/1.1
Host: target-site:8500
Content-Type: application/octet-stream
Content-Length: 37

2:000018:C:Windowswin.ini00004:READ

响应直接返回文件内容。同样的漏洞也存在于 WRITE（文件写入）、RENAME（文件重命名）、REMOVE（文件删除）等操作中，意味着攻击者不仅可以读取任意文件，还可以任意修改、删除服务器文件。

修补后的版本将 getFile(filename) 替换为 getCanonicalFile(filename)，并将路径传给 RdsFileSecurity.resolveCanonical() 进行二次验证——拒绝绝对路径、拒绝 ../ 遍历序列、拒绝路径越界。修复一个漏洞，顺便把附近所有的文件操作primitive都加固了。

三、漏洞关联与攻击链组合

3.1 CVE-2026-48282：同一模块已被在野利用

值得国内用户高度警惕的是，同属 APSB26-68 公告范围内的另一个漏洞——CVE-2026-48282（同样是路径遍历导致任意文件写入，CVSS 10.0）——已在披露后数小时内被在野攻击利用。安全研究人员从 IP 地址 103.207.14.220（归属地印度）捕获到攻击流量，攻击载荷正是 2:000018:C:Windowswin.ini00004:READ——典型的 RDS FILEIO 协议读取文件操作。

这说明：CVE-2026-48282 和 CVE-2026-48313/CVE-2026-48283 本质上是同一个代码区域的多个漏洞，攻击者已经高度熟悉这套攻击手法，随时可能将利用代码迁移到本次披露的两个新漏洞上。

3.2 攻击链组合

对于攻击者来说，CVE-2026-48313 和 CVE-2026-48283 配合使用效果最佳：

第一步，用 CVE-2026-48313 读取配置文件（如 cfusion/lib/password.properties、cfusion/config/neo-security.xml），获取数据库连接凭据、加密密钥或管理员密码哈希。

第二步，用 CVE-2026-48283 将恶意 WAR 或 CFM Webshell 上传到 Web 根目录，实现持久化远程代码执行。

第三步，以 SYSTEM 权限执行命令，建立后门、窃取数据或横向移动。

四、国内影响面评估

ColdFusion 在国内政企领域有不少历史遗留部署，主要集中在以下几个场景：

政府机构：部分政府网站和政务系统使用 ColdFusion 作为后端应用服务器，用于快速开发内部流程系统和数据报送平台。这类系统通常部署在政务外网，但部分存在互联网暴露面。

金融机构：银行、证券、基金等机构的遗留业务系统常使用 ColdFusion 进行快速开发，部分系统可能仍在使用未打补丁的旧版本。

大型企业：制造业、能源等大型企业的 ERP、OA 系统早期版本基于 ColdFusion 开发，运维团队更迭后可能存在无人维护的情况。

Shadowserver 追踪数据显示全球约有 750-800 个互联网暴露的 ColdFusion 实例，考虑到国内政企系统的特殊性和 ColdFusion 在国内的广泛应用，实际受影响数量可能远超这个数字。

五、修复建议

5.1 紧急修复

立即升级到修补版本是最高优先级：

ColdFusion 2025：升级到 Update 10
ColdFusion 2023：升级到 Update 21

下载地址：https://helpx.adobe.com/security/products/coldfusion/apsb26-68.html

5.2 临时缓解措施

如果无法立即升级，建议采取以下措施：

网络层隔离：通过 WAF 或防火墙规则，阻止外部对中国大陆 ColdFusion 服务器 /CFIDE/administrator/、/CFIDE/main/ide.cfm 及 /cf_scripts/scripts/ajax/ckeditor/plugins/filemanager/ 等路径的访问。这些路径原本仅供内网开发使用，完全不应暴露在公网。

RDS 服务禁用：如果业务不需要 RDS 功能，管理员应在 ColdFusion 控制台中将其禁用。RDS 在默认情况下不启用，但如果被开启且未配置认证，则成为攻击入口。

上传功能审查：确认 CKEditor 文件管理器的上传功能是否被开启（AllowUploads 配置项）。如果非业务必需，应保持关闭状态。

异常文件排查：检查 ColdFusion Web 根目录是否存在异常的 .cfm、.cfc、.jsp、.war 文件，特别关注修改时间在 2026年6月30日之后的文件。