Adobe ColdFusion: Server-Side Request Forgery (SSRF) mit Rechteerweiterung
Zusammenfassung
Adobe ColdFusion 2025 (bis 2025.0.13) und ColdFusion 2023 (bis 2023.0.25) enthalten eine Server-Side Request Forgery (SSRF) Schwachstelle, CVE-2026-105897. Ein Angreifer mit Netzwerkzugriff auf den Server kann ohne Anmeldung und ohne Benutzerinteraktion vom Server aus manipulierte Anfragen senden, und die Auswirkungen können über ColdFusion hinausreichen. Adobe gibt an, dass das Problem zu einer Rechteerweiterung führen kann, und der CVSS-Vektor bewertet die Auswirkung auf die Vertraulichkeit als hoch. Adobe ist keine Ausnutzung in freier Wildbahn bekannt.
Betroffen
- Adobe ColdFusion 2025: 0 bis 2025.0.13
- Adobe ColdFusion 2023: 0 bis 2023.0.25
Behoben in
- Adobe ColdFusion 2025: Update auf 2025.0.14 oder neuer
- Adobe ColdFusion 2023: Update auf 2023.0.26 oder neuer
- Behoben in den am 13. Oktober 2026 veröffentlichten Updates (APSB26-144)
Umgehung
- Kein Workaround des Herstellers dokumentiert. Das Update ist die Behebung.
- SSRF-Schutz nicht deaktivieren (JVM-Flag coldfusion.security.ssrf.disableProtection).
- Bis zur Behebung ausgehende Verbindungen vom ColdFusion-Server zu internen Netzen und Cloud-Metadaten-Adressen einschränken. Dies ist eine allgemeine Härtungsmassnahme und keine vom Hersteller vorgegebene Lösung.
Ausnutzung
- Adobe ist keine Ausnutzung der Probleme dieses Updates in freier Wildbahn bekannt.
- Tenable und die Zero Day Initiative führen die verwandten Probleme als nicht ausgenutzt.
- Für diese CVE wurde kein öffentlicher Proof of Concept gefunden. Auf Änderungen überwachen.
Unsere Empfehlung
- Alle ColdFusion-Instanzen und deren Versionen inventarisieren und prüfen, ob sie aus dem Internet erreichbar sind.
- Auf 2025.0.14 oder 2023.0.26 oder neuer aktualisieren und Anwendungen vor dem Rollout testen, da das Update das Verhalten verändert.
- Das SSRF-Schutz-Flag nicht deaktivieren.
- Den NVD-Eintrag zu CVE-2026-105897 überprüfen und auf öffentliche Exploit-Berichte achten.
- Das Update für aus dem Internet erreichbare Server als dringend behandeln.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- ColdFusion 2025 updates (Adobe) guides.adobe.com
- ColdFusion 2023 Release Update 26 (Adobe) guides.adobe.com
- ColdFusion 2023 updates (Adobe) guides.adobe.com
- Zero Day Initiative: October 2026 security update review www.zerodayinitiative.com
- Tenable plugin 366551 www.tenable.com
- Blacktree: Adobe October 2026 security fixes blacktree.nl
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.