Adobe ColdFusion CVE-2026-106624 : Code Injection CVSS 10

Les faits

Dans le cadre de son cycle de mises à jour de sécurité d'octobre 2026, Adobe a publié le 13 octobre 2026 le bulletin de sécurité APSB26-144, adressant pas moins de dix vulnérabilités critiques dans ColdFusion, son moteur de développement d'applications web d'entreprise. Parmi ces dix failles, deux atteignent le score CVSS maximum de 10.0 — la note la plus élevée possible sur l'échelle de sévérité commune : CVE-2026-106624 (injection de code) et CVE-2026-106622 (Server-Side Request Forgery avec élévation de privilèges). Ces scores maximaux reflètent des vulnérabilités exploitables à distance, sans authentification préalable, sans interaction de l'utilisateur, et conduisant à une compromission totale du serveur affecté.

La CVE-2026-106624 est classée CWE-94 (Improper Control of Generation of Code — Code Injection). Cette vulnérabilité affecte le moteur de traitement ColdFusion et permet à un attaquant distant non authentifié d'injecter et d'exécuter du code arbitraire dans le contexte de l'utilisateur système sous lequel ColdFusion s'exécute. Adobe précise dans son advisory APSB26-144 que l'exploitation ne nécessite aucune interaction de la part d'un utilisateur légitime, ce qui la rend particulièrement dangereuse pour les serveurs ColdFusion exposés à Internet. Dans la majorité des déploiements production, ColdFusion s'exécute avec des privilèges système significatifs — souvent SYSTEM sur Windows ou root/service dédié sur Linux — rendant le chemin vers une compromission totale du serveur très court après exploitation initiale.

La CVE-2026-106622 est une vulnérabilité de type SSRF (Server-Side Request Forgery), mais d'une nature particulièrement grave justifiant son score CVSS 10.0. Contrairement à de simples SSRF permettant uniquement d'accéder à des ressources internes, cette faille peut être exploitée pour obtenir une élévation de privilèges au-delà du serveur ColdFusion lui-même. Dans des environnements cloud (AWS, Azure, GCP), l'exploitation de ce SSRF permet d'accéder aux services de métadonnées d'instance (IMDS) — notamment l'AWS IMDSv1 (169.254.169.254) — pour récupérer des identifiants IAM ou des jetons d'accès temporaires permettant une prise de contrôle étendue de l'infrastructure cloud associée. L'absence d'authentification requise et d'interaction utilisateur explique le score maximal de 10.0.

Huit autres vulnérabilités critiques complètent ce bulletin APSB26-144. CVE-2026-106621 (injection de code, CVSS 9.1) et CVE-2026-106623 (autorisation incorrecte) s'ajoutent à plusieurs failles de type unrestricted file upload et incorrect authorization. Ce profil — injection de code pré-authentification, SSRF, upload de fichiers non restreint, mauvaise gestion de l'autorisation — correspond au profil classique des serveurs web exposés permettant une prise de contrôle complète sans authentification préalable. La densité de vulnérabilités critiques dans ce seul bulletin APSB26-144 est qualifiée par la Zero Day Initiative (ZDI) de Trend Micro comme « l'une des plus importantes de l'année pour la plateforme ColdFusion ».

ColdFusion est historiquement une cible privilégiée des acteurs malveillants. Des vulnérabilités critiques précédentes ont été exploitées en conditions réelles par des groupes APT et des acteurs de ransomware : CVE-2023-26360 et CVE-2023-29298 avaient été activement exploitées en 2023, avec des compromissions observées dans les 72 heures suivant leur divulgation selon les rapports de Rapid7 et de la CISA. L'historique de ColdFusion montre une corrélation forte entre la divulgation de vulnérabilités critiques et l'exploitation rapide qui suit — notamment dans les environnements gouvernementaux et de santé qui utilisent intensivement cette plateforme et constituent des cibles à haute valeur pour les attaquants.

Les versions affectées sont Adobe ColdFusion 2025 jusqu'à l'Update 2 inclus, et Adobe ColdFusion 2023 jusqu'à l'Update 10 inclus. Les versions antérieures (ColdFusion 2021 et plus anciennes) ne sont plus en support actif depuis Adobe, ce qui signifie qu'elles ne reçoivent pas de correctifs de sécurité — mais pourraient partager des composants vulnérables similaires issus de la même base de code. Adobe ne les liste pas explicitement dans ce bulletin, ce qui ne signifie pas qu'elles sont exemptées des vulnérabilités concernées. Les organisations utilisant des versions en fin de vie doivent considérer une migration urgente vers des versions maintenues, ou adopter des mesures compensatoires significatives en attendant.

Adobe indique qu'il n'a pas connaissance d'exploitation active dans la nature au moment de la publication du bulletin APSB26-144. Cependant, l'absence d'exploitation connue au moment de la divulgation ne doit pas induire un sentiment de fausse sécurité. L'historique de ColdFusion montre que les vulnérabilités critiques de cette plateforme sont exploitées rapidement après leur divulgation publique. La publication de détails techniques dans les advisories, combinée à la base installée conséquente de ColdFusion dans les environnements gouvernementaux et enterprise, attire inévitablement l'attention des chercheurs en sécurité offensifs et des acteurs malveillants. Des tentatives d'exploitation via des scanners automatisés sont probables dans les jours suivant la divulgation publique.

Sur le plan de la détection, ColdFusion expose typiquement une interface d'administration (ColdFusion Administrator, accessible par défaut sur /CFIDE/administrator/) qui constitue un vecteur d'attaque supplémentaire en cas de mauvaise configuration de l'accès. Les indicateurs de compromission potentiels incluent : des requêtes HTTP anormales vers des endpoints ColdFusion inhabituels ou des chemins inattendus, des créations de fichiers CFM (ColdFusion Markup) ou JSP dans des répertoires non prévus pour l'hébergement de code applicatif, des connexions réseau sortantes inattendues depuis le processus ColdFusion (java.exe sur Windows ou le processus Java associé sur Linux) vers des destinations Internet non liées à l'activité applicative normale, ou des modifications des fichiers de configuration server.xml et web.xml. Les équipes SOC doivent mettre à jour leurs règles SIEM pour détecter ces patterns spécifiques à la plateforme ColdFusion.

Impact et exposition

Adobe ColdFusion est utilisé par des milliers d'organisations dans le monde, avec une présence notable dans les administrations publiques américaines et européennes, les établissements de santé, et les institutions financières. Ces environnements, qui gèrent des données particulièrement sensibles (données personnelles, dossiers médicaux, informations financières, données gouvernementales classifiées), constituent des cibles prioritaires pour des groupes APT et des acteurs de ransomware cherchant à maximiser l'impact de leurs opérations par la valeur et la sensibilité des données accessibles.

L'exposition externe est un facteur déterminant du niveau de risque : les serveurs ColdFusion exposant des applications web accessibles depuis Internet sont directement exploitables si non patchés contre CVE-2026-106624. Une recherche sur des moteurs de fingerprinting réseau comme Shodan ou Fofa permet à des attaquants d'identifier rapidement les serveurs ColdFusion exposés sur Internet — leur empreinte numérique (headers HTTP spécifiques, structures d'URL /CFIDE/, messages d'erreur caractéristiques de ColdFusion) est généralement distinctive et facilement reconnaissable par des scanners automatisés. La combinaison d'une injection de code pré-authentification avec un accès Internet direct fournit un chemin d'exploitation trivial.

Le risque dans les environnements cloud est amplifié par CVE-2026-106622 (SSRF) : si le serveur ColdFusion s'exécute dans un environnement AWS, Azure ou GCP, l'exploitation de ce SSRF peut permettre l'accès aux services de métadonnées internes (IMDS) et la récupération de tokens d'identité cloud. En cas d'utilisation de rôles IAM trop permissifs sur l'instance hébergeant ColdFusion — ce qui est fréquent en pratique — cette faille peut mener à une escalade vers d'autres services cloud (S3, RDS, Lambda, secrets managers), voire à une compromission de l'ensemble du compte cloud de l'organisation via la récupération des clés d'accès IAM disponibles dans les métadonnées d'instance.

Recommandations immédiates

• Appliquer immédiatement ColdFusion 2025 Update 3 et ColdFusion 2023 Update 11 — Adobe Security Bulletin APSB26-144 (13 octobre 2026).
• Si le patch ne peut être appliqué immédiatement, placer le serveur ColdFusion derrière un WAF (Web Application Firewall) configuré pour bloquer les tentatives d'injection de code et les requêtes SSRF suspectes vers des ressources internes.
• Désactiver ou restreindre l'accès à l'interface ColdFusion Administrator (/CFIDE/administrator/) aux seules adresses IP de gestion autorisées via règles firewall ou configuration serveur web.
• Dans les environnements cloud, vérifier que les rôles IAM associés à l'instance hébergeant ColdFusion suivent le principe de moindre privilège, et activer IMDSv2 (token-based IMDS) sur AWS pour bloquer les attaques SSRF classiques vers le service de métadonnées 169.254.169.254.
• Effectuer un inventaire exhaustif de tous les serveurs ColdFusion déployés dans l'organisation, y compris les environnements de développement, de recette et de staging souvent négligés dans les cycles de patch.
• Activer la journalisation détaillée des requêtes HTTP sur le serveur ColdFusion et surveiller les patterns d'accès anormaux aux endpoints /CFIDE/ et aux scripts applicatifs.