CISA Perintahkan Instansi Pemerintah AS Segera Patch Celah Kritis Adobe ColdFusion yang Sedang Dieksploitasi

Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) memerintahkan seluruh instansi pemerintah federal untuk segera memasang patch terhadap kerentanan kritis pada Adobe ColdFusion yang diketahui sedang dieksploitasi secara aktif oleh pelaku ancaman.

Kerentanan dengan identitas CVE-2026-48282 tersebut memiliki tingkat keparahan maksimum dan memungkinkan penyerang menjalankan kode berbahaya dari jarak jauh pada sistem yang belum diperbarui.

Celah Memungkinkan Remote Code Execution

CVE-2026-48282 memengaruhi Adobe ColdFusion 2025 Update 9, ColdFusion 2023 Update 20, serta seluruh versi yang lebih lama.

Kerentanan ini dapat dieksploitasi oleh penyerang tanpa memerlukan hak akses sebelumnya dan hanya membutuhkan tingkat kompleksitas serangan yang rendah. Jika berhasil dimanfaatkan, pelaku dapat memperoleh kemampuan Remote Code Execution (RCE) pada server yang rentan.

Adobe telah merilis pembaruan keamanan sekitar satu minggu sebelumnya dan mendesak administrator sistem untuk segera menginstalnya karena risiko eksploitasinya sangat tinggi.

Perusahaan bahkan merekomendasikan agar pembaruan diterapkan secepat mungkin, idealnya dalam waktu 72 jam setelah patch tersedia.

Eksploitasi Dimulai Hanya Dua Jam Setelah Patch Dirilis

Menurut pendiri KEVIntel, Ryan Dewhurst, aktivitas eksploitasi terhadap CVE-2026-48282 mulai terdeteksi hanya sekitar dua jam setelah Adobe memublikasikan detail dan patch keamanan.

Sementara itu, Canadian Centre for Cyber Security (CCCS) juga telah mengeluarkan imbauan kepada para administrator jaringan agar segera mengamankan sistem mereka dari serangan yang sedang berlangsung.

Perkembangan ini menunjukkan betapa cepatnya pelaku ancaman memanfaatkan informasi mengenai kerentanan yang telah dipublikasikan untuk menyerang sistem yang belum diperbarui.

CISA Masukkan CVE-2026-48282 ke Daftar KEV

Pada 7 Juli 2026, CISA secara resmi memasukkan CVE-2026-48282 ke dalam Known Exploited Vulnerabilities (KEV) Catalog, yaitu daftar kerentanan yang telah dipastikan dieksploitasi di dunia nyata.

Sebagai konsekuensinya, seluruh Federal Civilian Executive Branch (FCEB) diwajibkan menyelesaikan proses patching paling lambat Jumat, 10 Juli 2026, sesuai ketentuan dalam Binding Operational Directive (BOD) 26-04.

Direktif terbaru tersebut mewajibkan instansi pemerintah memprioritaskan patch berdasarkan beberapa faktor, di antaranya:

• Kerentanan telah masuk ke katalog KEV CISA.
• Eksploitasi dapat diotomatisasi untuk serangan berskala besar.
• Sistem yang rentan dapat diakses melalui internet.
• Keberhasilan eksploitasi memberikan kendali sebagian atau penuh kepada penyerang.

Ratusan Server ColdFusion Masih Terhubung ke Internet

Data dari Shadowserver menunjukkan terdapat hampir 800 instance Adobe ColdFusion yang masih dapat diakses langsung dari internet.

Meski demikian, belum dapat dipastikan berapa banyak di antaranya yang merupakan honeypot ataupun yang telah dipasang patch keamanan terhadap CVE-2026-48282.

Keberadaan server yang masih terekspos meningkatkan risiko eksploitasi, terutama mengingat serangan terhadap celah ini telah berlangsung secara aktif.

Adobe Juga Perbaiki Enam Kerentanan Kritis Lain

Selain CVE-2026-48282, Adobe sebelumnya juga merilis pembaruan untuk enam kerentanan lain dengan tingkat keparahan maksimum pada platform ColdFusion dan Campaign Classic.

Walaupun seluruh kerentanan tersebut dikategorikan memiliki risiko tinggi untuk menjadi sasaran serangan, Adobe menyatakan belum menemukan bukti bahwa celah-celah tersebut telah dieksploitasi di dunia nyata.

Sebelumnya, pada April 2026, Adobe juga merilis pembaruan darurat untuk kerentanan CVE-2026-34621 pada Acrobat Reader yang diketahui telah dieksploitasi sebagai zero-day sejak Desember 2025.

Sejak November 2021, CISA telah memasukkan 80 kerentanan pada produk Adobe ke dalam katalog KEV. Dari jumlah tersebut, 10 kerentanan diketahui juga pernah dimanfaatkan dalam serangan ransomware, menunjukkan bahwa produk Adobe masih menjadi target utama pelaku ancaman siber.

Sumber: CISA