Adobe ColdFusion: Fehlende Berechtigungsprüfung ermöglicht Ausführung von Code
Zusammenfassung
Die Adobe-ColdFusion-Versionen 2023 bis einschliesslich 2023.0.25 und 2025 bis einschliesslich 2025.0.13 enthalten eine Schwachstelle durch fehlerhafte Autorisierung (CWE-863). Ein Angreifer mit lokalem Zugriff und einem Konto mit niedrigen Rechten kann im Kontext des aktuellen Benutzers beliebigen Code ausführen. Da der Scope geändert ist, kann sich die Auswirkung über die verwundbare Komponente hinaus erstrecken, und es ist keine Benutzerinteraktion nötig. Adobe ist keine Ausnutzung in freier Wildbahn bekannt.
Betroffen
- Adobe ColdFusion 2025: 0 bis 2025.0.13
- Adobe ColdFusion 2023: 0 bis 2023.0.25
Behoben in
- Adobe ColdFusion 2025: 2025.0.14 (Update 14)
- Adobe ColdFusion 2023: 2023.0.26 (Update 26)
Umgehung
Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden. Das Einspielen des Updates ist die Behebung.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn bekannt.
- CISA-SSVC-Bewertung: Ausnutzung none, nicht automatisierbar, totale technische Auswirkung.
- Öffentlicher Proof of Concept: keiner bekannt.
Unsere Empfehlung
- Alle ColdFusion-Instanzen 2023 und 2025 inventarisieren, insbesondere solche, die aus dem Internet erreichbar sind.
- Prioritär auf 2025 Update 14 oder 2023 Update 26 patchen. Adobe stuft diese Deployment-Updates als Priorität 1 ein.
- ColdFusion-Konten prüfen, insbesondere solche mit niedrigen Rechten, und Berechtigungen für Administrator und Paketverwaltung einschränken.
- CWE- und CVSS-Angaben zu dieser CVE auf der aktuellen Adobe-Bulletin-Seite prüfen, da der Bulletin-Text diese CVE zweimal mit abweichenden Angaben auflistet.
- Die anderen netzwerkseitig erreichbaren Schwachstellen im selben Bulletin gleichzeitig patchen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- Adobe ColdFusion 2025 updates guides.adobe.com
- Adobe ColdFusion 2023 updates guides.adobe.com
- Tenable Nessus plugin 366551 (ColdFusion update check) www.tenable.com
- Zero Day Initiative: October 2026 security update review www.zerodayinitiative.com
- BlackTree: Adobe October 2026 security fixes blacktree.nl
- YAAM Labs: Adobe ColdFusion October 2026 patches yaamlabs.com
- Offseq Radar: CVE-2026-106089 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:11.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.