Adobe, ColdFusion ve Campaign Classic'teki kritik güvenlik açıkları için acil güncellemeler yayımladı

Adobe, ColdFusion web uygulama geliştirme platformu ile Adobe Campaign Classic pazarlama otomasyon platformunu etkileyen yedi kritik güvenlik açığını gideren güvenlik güncellemelerini yayımladı. Şirket, söz konusu açıkların düşük karmaşıklıktaki saldırılarla ve kullanıcı etkileşimi gerekmeksizin istismar edilebileceğini belirtti.

Adobe, yayımladığı güvenlik danışma notunda, "Bu güncelleme, belirli ürün sürümleri ve platformlar için istismar edildiği tespit edilen veya istismar edilme riski yüksek olan güvenlik açıklarını gideriyor. Adobe, yöneticilerin güncellemeleri mümkün olan en kısa sürede, örneğin 72 saat içinde yüklemesini tavsiye ediyor." ifadelerine yer verdi.

Şirket ayrıca, "Bu güncellemeler kapsamında giderilen güvenlik açıklarının hiçbirinin şu anda gerçek saldırılarda kullanıldığına dair bilgimiz bulunmuyor." açıklamasını yaptı.

ColdFusion'da uzaktan kod çalıştırma riski

Adobe'ye göre kritik seviyedeki altı güvenlik açığı (CVE-2026-48276, CVE-2026-48277, CVE-2026-48281, CVE-2026-48316, CVE-2026-48282 ve ilgili diğer kritik açık), ColdFusion 2025 Update 9, ColdFusion 2023 Update 20 ve daha eski sürümleri etkiliyor.

Şirket, bu açıkların yetkisiz saldırganlar tarafından yamalanmamış sistemlerde uzaktan kod çalıştırma (Remote Code Execution - RCE) amacıyla kullanılabileceğini bildirdi.

Campaign Classic açığı da kritik seviyede

Maksimum önem derecesine sahip CVE-2026-48286 numaralı güvenlik açığının ise Adobe Campaign Classic 7.4.3 Build 9396 ve önceki sürümlerini etkilediği açıklandı.

Adobe, başarılı bir istismar sonrasında açığın mevcut kullanıcının yetkileri kapsamında rastgele kod çalıştırılmasına olanak sağlayabileceğini belirtti.

Şirket, CVE-2026-48286 açığının yalnızca kurum içi (on-premises) Adobe Campaign kurulumlarını etkilediğini, Adobe tarafından barındırılan (hosted) hizmetlerde gerekli düzeltmenin daha önce uygulandığını ifade etti.

Adobe güvenlik bültenlerini ayda iki kez yayımlayacak

Adobe Güvenlik Direktörü (CSO) Aanchal Gupta, şirketin güvenlik güncellemelerini daha hızlı sunabilmek amacıyla yayımlama takviminde değişikliğe gittiğini açıkladı.

Gupta, "14 Temmuz 2026 itibarıyla Adobe Security Bulletins ve Advisories, her ayın ikinci ve dördüncü salı günü olmak üzere ayda iki kez yayımlanacak. Aktif olarak istismar edilen veya dış araştırmacılar tarafından keşfedilen sıfırıncı gün açıklarında ise olağanüstü müdahale sürecimiz devam edecek." dedi.

Adobe, nisan ayında da Acrobat Reader'ı etkileyen ve en az Aralık 2025'ten bu yana sıfırıncı gün saldırılarında kullanılan CVE-2026-34621 güvenlik açığını gidermek için acil güncellemeler yayımlamıştı.

Öte yandan, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) aktif olarak istismar edilen güvenlik açıkları kataloğunda son beş yılda Adobe ürünlerini etkileyen 79 güvenlik açığı yer aldı. Bunlardan 10'unun fidye yazılımı grupları tarafından da kullanıldığı bildirildi.

Kaynak: Beykozun Sesi