INCIBE alerta de vulnerabilidades críticas en Adobe

Si tu empresa mantiene aplicaciones en ColdFusion, comprobar la versión instalada es el primer paso para saber si la alerta te afecta y planificar el trabajo. INCIBE publicó el aviso INCIBE-2026-548 el 12 de agosto de 2026, con importancia crítica. No publica una tarifa ni un presupuesto de actualización: en euros, el coste dependerá de las horas que requiera cada servidor y del coste horario que maneje la empresa.

El punto de partida es identificar con precisión qué producto y versión utiliza cada servidor. La alerta incluye varios productos de Adobe, pero sus versiones afectadas y sus soluciones no son intercambiables. Para ColdFusion, el aviso recoge versiones 2025.0.11 y anteriores de la rama 2025 y 2023.0.22 y anteriores de la rama 2023. La recomendación de INCIBE es aplicar la última versión disponible indicada por el fabricante; por ello, conviene seguir las instrucciones específicas de Adobe para la rama instalada.

¿Qué versiones de ColdFusion aparecen en la alerta?

INCIBE enumera como afectadas ColdFusion 2025 versión 2025.0.11 y anteriores, y ColdFusion 2023 versión 2023.0.22 y anteriores. La organización puede comparar esos datos con el inventario técnico de sus sistemas. Si no dispone de un registro actualizado, la revisión debe empezar por localizar las instalaciones, anotar producto y versión, y determinar qué servidores prestan servicio a aplicaciones empresariales.

La alerta atribuye a los fallos críticos de ColdFusion la posibilidad de ejecución de código arbitrario o denegación de servicio. Son consecuencias potenciales descritas en el aviso, no la confirmación de que una instalación concreta haya sido atacada. INCIBE lista cuatro CVE críticos en su ficha; que la columna de explotación indique «No» no elimina la recomendación de actualizar.

El alcance del aviso es más amplio que ColdFusion. También aparecen Adobe Commerce, Adobe Commerce B2B, Magento Open Source, Lightroom Classic, Content Credentials Rust SDK, C2PA Tool y Content Credentials JS SDK, cada uno con sus versiones afectadas. La ficha describe escalada de privilegios en Commerce, Commerce B2B y Magento Open Source. Si la empresa utiliza alguno de esos productos, deberá consultar la referencia de seguridad correspondiente, sin aplicar por analogía las instrucciones de ColdFusion.

¿Cómo comprobar la versión instalada?

La comprobación práctica consiste en revisar la información de versión de cada instalación de ColdFusion y contrastarla con el inventario de servidores. Es útil registrar qué rama está en uso, dónde se ejecuta, qué aplicación depende de ella y quién administra el sistema. La lista debe distinguir instalaciones productivas y otros entornos que también requieran revisión; el aviso de INCIBE no establece una metodología de inventario ni determina cuántas instalaciones tiene cada empresa.

Una vez identificadas las versiones, hay que acudir al aviso oficial y a la actualización de seguridad de Adobe para ColdFusion. INCIBE enlaza el boletín del fabricante APSB26-90. La empresa debe seguir las instrucciones aplicables a su versión y planificar las comprobaciones necesarias para sus propias aplicaciones. No conviene asumir que una actualización genérica para otro producto o rama resuelve el problema.

Este proceso permite convertir una alerta general en una tarea concreta: localizar los sistemas afectados, confirmar la versión y organizar la actualización indicada. La nota no detalla pasos de instalación, requisitos de compatibilidad ni tiempos de parada. Esos aspectos deben contrastarse en las instrucciones del fabricante y con la configuración de cada organización antes de ejecutar cambios en sus sistemas.

¿Cuánto costaría revisar y actualizar los servidores ColdFusion de mi empresa?

La alerta no da un precio por servidor ni estima el tiempo de trabajo. Para obtener una cifra útil, cada empresa puede introducir el número de servidores que revisará, las horas previstas por servidor y el coste horario que quiera utilizar. Si el trabajo requiere tiempos distintos en cada máquina, conviene calcular cada servidor por separado y sumar los resultados.

La operación básica es horas de trabajo por servidor multiplicadas por el coste horario; para varios servidores con la misma estimación, se multiplica además por el número de servidores. El resultado refleja únicamente los parámetros introducidos: no es un presupuesto de Adobe ni una tarifa de mercado. La calculadora de la pieza sirve para organizar esa estimación y también puedes consultar otras calculadoras de Diario Económico.

Como ejemplo ilustrativo sin cifras prefijadas, si una empresa asigna a cada servidor H horas y establece un coste horario de T euros, el coste de trabajo por servidor es H × T. Para N servidores con la misma dedicación, la estimación sería N × H × T. Si cada equipo necesita una revisión distinta, se suman los productos de horas y coste horario correspondientes a cada uno. Las variables han de proceder de la propia planificación de la empresa; INCIBE no publica valores para sustituirlas.

La estimación mejora cuando separa el diagnóstico inicial del trabajo de actualización y de las comprobaciones posteriores, siempre que la empresa pueda asignar horas a cada actividad. También es importante indicar si el coste horario representa al personal interno o a un servicio contratado. El cálculo no incorpora conceptos que el usuario no haya introducido y no permite deducir el impacto económico de una interrupción o de una incidencia.

¿Qué otros productos de Adobe están afectados?

La alerta incluye rangos de versiones para Adobe Commerce y Adobe Commerce B2B, Magento Open Source, Lightroom Classic y varias herramientas Content Credentials. Entre ellas figuran Content Credentials Rust SDK, C2PA Tool y Content Credentials JS SDK. Para decidir si la empresa está afectada, hay que identificar el producto exacto y contrastar su versión con el listado completo de la alerta. Un servidor que no ejecute ColdFusion puede estar dentro del alcance por utilizar otro producto incluido.

La ficha comunica un total de 55 vulnerabilidades: cuatro críticas, 26 altas, 14 medias y una baja. Sin embargo, esas categorías suman 45, no 55. Por ese motivo, el desglose publicado no permite distribuir de manera consistente el total por severidad. La noticia conserva ambas cifras tal como aparecen en INCIBE y no atribuye una explicación a la diferencia. La alerta detalla cinco vulnerabilidades críticas en el texto: dos vinculadas a ColdFusion y tres a Commerce, Commerce B2B y Magento Open Source; además lista cuatro identificadores CVE con severidad crítica. Ante esa diferencia de recuento, la ficha y los boletines de Adobe son las referencias para revisar cada producto afectado.

¿Qué recomienda INCIBE y dónde consultar la alerta?

La solución indicada por INCIBE es actualizar a la última versión disponible señalada por el fabricante. La alerta enlaza los avisos de seguridad de Adobe para ColdFusion (APSB26-90), Adobe Commerce (APSB26-92), Lightroom Classic (APSB26-94) y Content Credentials SDK (APSB26-111). La empresa puede empezar por la ficha de INCIBE y seguir desde allí la referencia del producto que tenga instalado.

INCIBE mantiene además un portal de protección y ciberseguridad para empresas. El INE explica que sus notas de prensa y comunicados oficiales resumen resultados de operaciones estadísticas y otra información de la institución; el portal no proporciona datos sobre el coste de actualizar ColdFusion. El Boletín Oficial del Estado ofrece acceso a diarios oficiales e información jurídica. Se incluyen como recursos institucionales, sin atribuirles recomendaciones técnicas sobre esta alerta.

Para una empresa, la decisión inmediata es comprobar si utiliza una de las versiones señaladas, identificar todos los servidores afectados y consultar la actualización del fabricante correspondiente. La cifra de coste debe construirse con las horas y la tarifa que la organización estime para su situación. Esa separación entre la información técnica publicada y los parámetros propios evita presentar como precio oficial lo que INCIBE no ha calculado.