CISA警告Adobe Experience Manager Forms存在严重漏洞

美国网络安全和基础设施安全局(CISA)就Adobe Experience Manager (AEM) Forms中新发现的漏洞发布警告。

该漏洞对使用该软件Java企业版(JEE)版本的组织构成重大风险。鉴于其严重性，CISA已指示所有联邦机构在2025年11月5日前应用补丁或停止使用易受攻击的系统。

漏洞说明

Adobe在2025年10月初披露了该漏洞(CVE-2025-54253)，将其标记为关键任意代码执行漏洞。该漏洞允许攻击者无需认证或用户交互即可执行任意代码。

AEM Forms是企业广泛用于管理数字表单和自动化文档工作流的平台，在面向客户和后台运营中扮演着重要角色。因此，成功利用该漏洞可能导致数据盗窃、勒索软件部署或其他广泛的网络危害。

Adobe的响应

Adobe通过发布受影响版本（包括AEM Forms 6.5.13及更早版本）的补丁作出响应。该公司的更新同时解决了CVE-2025-54253和CVE-2025-54254（另一个涉及任意文件系统读取的关键漏洞）。

尽管这两个漏洞都存在公开的概念验证(PoC)利用程序，但Adobe报告称，截至2025年10月中旬，尚未发现野外主动利用的证据。

在其公告中，Adobe鼓励管理员立即应用安全更新，并确认所有系统都已修复。在Adobe披露后，CISA将CVE-2025-54253添加到其已知被利用漏洞(KEV)目录中。

鉴于AEM Forms在政府、金融、医疗和制造等行业的普遍使用，该漏洞为网络犯罪分子和高级持续性威胁(APT)行为者提供了广泛且有吸引力的目标。

建议缓解措施

此漏洞的发现强调了在企业网络安全中采用分层防御策略的重要性。以下是组织可以采取的一些基本步骤：

• 应用补丁：保持所有AEM Forms系统最新，并维持一致的补丁管理流程
• 身份验证和访问控制：对特权账户使用多因素认证，强制执行最小权限访问，并删除未使用的凭据
• 网络分段：使用防火墙、VLAN和零信任控制将关键资产与公共系统分离
• 持续监控：进行定期漏洞扫描，并使用入侵检测及早发现威胁
• 审计配置：审查AEM设置和集成，确保符合Adobe和CISA安全指南
• 维护备份和事件响应计划：保留加密的离线备份和桌面演练事件响应计划

通过优先考虑及时打补丁、强身份验证、网络分段和持续监控，组织可以增强对此漏洞及未来漏洞的网络弹性。