Adobe ColdFusion: Unbeschränkter Datei-Upload mit Remote Code Execution
Zusammenfassung
Adobe ColdFusion 2023 bis 2023.0.25 und ColdFusion 2025 bis 2025.0.13 enthalten eine Schwachstelle durch unbeschränkten Datei-Upload (CWE-434, CVSS 10.0). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann eine gefährliche Datei hochladen und beliebigen Code im Kontext des ColdFusion-Servers ausführen, ohne dass eine Benutzerinteraktion nötig ist. Adobe meldet keine Ausnutzung in freier Wildbahn. Einige Sekundärquellen beschreiben den Schwachstellentyp abweichend, massgeblich ist daher das Adobe-Bulletin APSB26-144.
Betroffen
- Adobe ColdFusion 2025: 0 bis 2025.0.13
- Adobe ColdFusion 2023: 0 bis 2023.0.25
- Plattform: alle (gemäss Adobe)
Behoben in
- Adobe ColdFusion 2025 Update 14 (2025.0.14)
- Adobe ColdFusion 2023 Update 26 (2023.0.26)
Umgehung
- Unbekannt. Das Einspielen des Patches ist die vollständige Massnahme.
- Nur als provisorische Massnahmen: Internetexposition von ColdFusion-Servern einschränken, Zugriff auf vertrauenswürdige IP-Adressen beschränken und den ColdFusion-Lockdown-Leitfaden für die eingesetzte Version anwenden.
Ausnutzung
- Adobe ist keine Ausnutzung der Schwachstellen dieses Bulletins in freier Wildbahn bekannt.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- EPSS: rund 0.6% Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen (Stand 22. Okt 2026).
- Bei unseren Recherchen wurde kein öffentlicher Proof of Concept gefunden. Dies schliesst einen solchen nicht aus.
Unsere Empfehlung
- Patchen Sie vorrangig auf ColdFusion 2025.0.14 oder 2023.0.26.
- Erfassen Sie alle ColdFusion-Instanzen, einschliesslich Test- und Altsysteme.
- Schränken Sie bis zum Patch den Internetzugriff ein und beschränken Sie den Zugriff auf vertrauenswürdige IP-Adressen.
- Prüfen Sie webzugängliche Verzeichnisse auf unerwartete hochgeladene Dateien.
- Beachten Sie das Adobe-Bulletin APSB26-144, das weitere Schwachstellen im selben Update behandelt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- Adobe ColdFusion 2025 Updates release notes guides.adobe.com
- ZDI: October 2026 security update review www.zerodayinitiative.com
- Ionix threat center: CVE-2026-105899 www.ionix.io
- Blacktree: Adobe October 2026 security fixes blacktree.nl
- IsMalicious: CVE-2026-105899 ismalicious.com
- Tenable plugin 366551 www.tenable.com
- Mallory: CVE-2026-105899 mallory.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.