Adobe ColdFusion: Codeinjektion führt zur Ausführung beliebigen Codes
Zusammenfassung
Adobe ColdFusion 2023 bis einschliesslich 2023.0.25 und 2025 bis einschliesslich 2025.0.13 enthalten eine Codeinjektions-Schwachstelle (CWE-94). Ein Angreifer mit einem Konto mit niedrigen Berechtigungen im Netzwerk kann beliebigen Code im Kontext des aktuellen Benutzers ausführen. Eine Benutzerinteraktion ist nicht erforderlich, und der Scope ist verändert, daher kann die Auswirkung über die verwundbare Komponente hinausgehen. Adobe ist keine Ausnutzung in freier Wildbahn bekannt, und es wurde kein öffentlicher Proof of Concept gefunden.
Betroffen
- Adobe ColdFusion 2025: 2025.0.13 und älter
- Adobe ColdFusion 2023: 2023.0.25 und älter
Behoben in
- Adobe ColdFusion 2025: Update 14 (2025.0.14)
- Adobe ColdFusion 2023: Update 26 (2023.0.26)
Umgehung
Unbekannt. Für diese CVE ist vom Hersteller kein Workaround dokumentiert. Das Update einspielen.
Ausnutzung
- Adobe gibt an, dass ihr keine Ausnutzung in freier Wildbahn für die Probleme in diesem Update bekannt ist.
- Ein Drittanbieter-Aggregator meldet, dass die CVE nicht im CISA-KEV-Katalog enthalten ist. Dies direkt bei CISA überprüfen.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle ColdFusion-Instanzen der Zweige 2023 und 2025 erfassen und deren genaue Build-Versionen festhalten.
- Auf 2025.0.14 oder 2023.0.26 oder neuer aktualisieren, prioritär für aus dem Internet erreichbare Server.
- Konten mit Zugriff auf ColdFusion prüfen und nicht benötigte oder Standardkonten entfernen, da ein Konto mit niedrigen Berechtigungen die Voraussetzung ist.
- Administrations- und RDS-Schnittstellen auf interne Netzwerke beschränken und die Erreichbarkeit aus dem Internet mit einem externen Scan prüfen.
- APSB26-144 und den CISA-KEV-Katalog auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- Adobe ColdFusion 2023 Update 26 release notes guides.adobe.com
- HKCERT security bulletin: Adobe October 2026 security update www.hkcert.org
- Tenable plugin 366551 www.tenable.com
- Zero Day Initiative: October 2026 security update review www.zerodayinitiative.com
- Strix CVE record CVE-2026-105903 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:23.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.