Adobe ColdFusion: Fehlende Berechtigungsprüfung ermöglicht Codeausführung
Zusammenfassung
Adobe ColdFusion 2023 und 2025 enthalten eine Schwachstelle durch fehlerhafte Autorisierung (CWE-863), die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Ein Angreifer benötigt ein lokales Konto mit niedrigen Berechtigungen auf dem Server, eine Benutzerinteraktion ist nicht erforderlich. Da der Scope verändert ist, kann ein erfolgreicher Angriff über ColdFusion hinaus wirken. Adobe meldet keine bekannten Exploits in freier Wildbahn.
Betroffen
- Adobe ColdFusion 2025 bis und mit 2025.0.13
- Adobe ColdFusion 2023 bis und mit 2023.0.25
- Plattform: Alle
Behoben in
- Adobe ColdFusion 2025: Aktualisierung auf 2025.0.14 (Update 14)
- Adobe ColdFusion 2023: Aktualisierung auf 2023.0.26 (Update 26)
Umgehung
- Keine CVE-spezifische Massnahme bekannt. Die Aktualisierung ist die einzige zuverlässige Gegenmassnahme.
- Adobe empfiehlt, das JDK/JRE von ColdFusion auf die neueste LTS-Version zu aktualisieren und den neuesten MySQL-Java-Connector zu verwenden.
- Update 26 verlangt für Admin- und Paketverwaltungs-Endpunkte die Rolle für Update-Verwaltung. Rollenzuweisungen nach der Aktualisierung prüfen.
- Bekanntes Problem: Die ausgehende Netzwerkrichtlinie erfasst nur die über cfdocument abgerufene Top-Level-URL, nicht Sub-Ressourcen-URLs im gerenderten HTML. Adobe rät davon ab, unvertrauenswürdiges HTML mit externen Ressourcen-URLs zu rendern, bis das Problem behoben ist.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn für Probleme im Bulletin APSB26-144 bekannt.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Kein öffentlicher Proof-of-Concept gefunden. Dies schliesst nicht aus, dass einer existiert.
- KEV-Status: nicht verifiziert.
Unsere Empfehlung
- Alle ColdFusion-Installationen der Versionen 2023 und 2025 sowie deren Versionsstände erfassen.
- So rasch wie möglich auf 2025.0.14 oder 2023.0.26 aktualisieren. Das gesamte Bulletin APSB26-144 als ein Update behandeln, besonders bei aus dem Internet erreichbaren Servern.
- Lokale Konten auf ColdFusion-Servern prüfen und nicht benötigte entfernen, da diese Schwachstelle ein lokales Konto mit niedrigen Berechtigungen voraussetzt.
- Nach der Aktualisierung die Rolle für Update-Verwaltung prüfen und auf unerwartete Codeausführungen oder Dateiänderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- ColdFusion 2023 Release Update 26 (Adobe) guides.adobe.com
- Strix CVE-2026-105901 www.strix.ai
- Tenable plugin 366551 www.tenable.com
- Blacktree: Adobe October 2026 security fixes blacktree.nl
- Zero Day Initiative: October 2026 security update review www.zerodayinitiative.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:13.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.