אדובי תיקנה חולשה בשרת האפליקציות קולדפיוז'ן שקיבלה את ציון החומרה המקסימלי, 10.0. תוקף יכול לנצל אותה מרחוק, בלי סיסמה ובלי שאף אחד בצד השני יעשה דבר, כדי להריץ קוד על השרת. החולשה כבר מנוצלת בשטח.

זה דף שרלוונטי לארגונים ולמנהלי שרתים. משתמש ביתי כמעט בוודאות לא מריץ קולדפיוז'ן, אבל שרתים כאלה מחזיקים לא פעם נתונים של לקוחות, ולכן זה נוגע גם למי שרק נמצא במאגר של ארגון כזה.

מה החולשה?

קולדפיוז'ן הוא שרת אפליקציות, תוכנה שמריצה אתרים ומערכות אינטרנט בתוך ארגונים.

מדובר בחולשה מסוג path traversal, מעבר בין תיקיות. תוכנת שרת אמורה להגיש קבצים רק מתוך התיקייה שהוקצתה לה. בחולשה כזאת התוקף בונה בקשה שמכילה רצף תווים שמטפס במעלה עץ התיקיות, וכך מגיע לקבצים שנמצאים מחוץ לאזור המותר. במקרה הזה השרשרת לא נעצרת בקריאת קבצים אלא מסתיימת בהרצת קוד על השרת עצמו.

בוקטור החומרה של החולשה מסומן Scope: Changed, כלומר הנזק אינו נעצר ברכיב הפגיע אלא מתפשט הלאה במערכת. יחד עם העובדה שלא נדרשת הזדהות ולא נדרשת שום פעולה של משתמש, זה מה שמביא את הציון ל-10.0, המקסימום האפשרי. ציון כזה נדיר.

מי מושפע?

הגרסאות הפגיעות הן ColdFusion 2025.9 ו-2023.20, וכל מה שקדם להן.

קולדפיוז'ן אינו נפוץ אצל משתמשים פרטיים, אבל הוא כן נמצא בארגונים ותיקים ובמערכות שנבנו לפני שנים וממשיכות לרוץ. דווקא שרתים כאלה נוטים להישכח בפינה בלי בעלים ברור, וזה מה שהופך אותם למטרה נוחה.

האם מנוצלת בפועל?

כן. ב-7 ביולי 2026 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שידוע שתוקפים מנצלים בשטח.

בשילוב עם ניצול מרחוק בלי הזדהות, זה בדיוק המצב שבו סורקים אוטומטיים מוצאים שרתים חשופים תוך שעות. שרת קולדפיוז'ן שפונה לאינטרנט ולא עודכן צריך להיחשב בסיכון מיידי, לא בסיכון תיאורטי.

מה עושים?

עדכנו את קולדפיוז'ן לגרסה מעבר ל-2025.9 או ל-2023.20, לפי המהדורה שאתם מריצים. העדכון והוראות ההתקנה נמצאים בהודעת האבטחה של אדובי.

עד שהעדכון מותקן, צמצמו את החשיפה. אם השרת לא חייב להיות נגיש מהאינטרנט הפתוח, הגבילו את הגישה אליו לרשת הפנימית בלבד.

מכיוון שהחולשה כבר מנוצלת, אל תסתפקו בעדכון. בדקו בלוגים של השרת בקשות חריגות שמכילות רצפי מעבר בין תיקיות, וחפשו קבצים שנכתבו לשרת בתאריכים שאתם לא יכולים להסביר. שרת שכבר נפרץ נשאר פרוץ גם אחרי שמתקינים עליו את התיקון.

ואם אינכם יודעים בוודאות אם רץ אצלכם קולדפיוז'ן, זה הרגע לבדוק. שרתים כאלה שורדים לא פעם את מי שהתקין אותם.