Adobe ColdFusion: Fehlende Autorisierung ermöglicht Remote Code Execution
Zusammenfassung
Adobe ColdFusion 2025 (bis 2025.0.13) und ColdFusion 2023 (bis 2023.0.25) enthalten eine Schwachstelle durch unzureichende Autorisierung. Ein Angreifer mit einem lokalen Konto mit niedrigen Berechtigungen kann Code im Kontext des ColdFusion-Dienstes ausführen, wobei der Scope verändert wird und keine Benutzerinteraktion nötig ist. Adobe ist keine Ausnutzung in freier Wildbahn bekannt, doch ColdFusion-Schwachstellen wurden 2026 nach der Veröffentlichung von Details rasch ausgenutzt.
Betroffen
- Adobe ColdFusion 2025: 0 bis 2025.0.13
- Adobe ColdFusion 2023: 0 bis 2023.0.25
Behoben in
- Adobe ColdFusion 2025: Aktualisierung auf 2025.0.14 (Update 14)
- Adobe ColdFusion 2023: Aktualisierung auf 2023.0.26 (Update 26)
Umgehung
Unbekannt. Kein Workaround des Herstellers identifiziert; das Update einspielen.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn für die Schwachstellen im Bulletin APSB26-144 bekannt.
- Kein öffentlicher Proof of Concept für diese CVE gefunden.
- Nicht bekannt, dass die CVE im CISA-KEV-Katalog geführt wird (nicht direkt überprüft).
Unsere Empfehlung
- ColdFusion 2025 auf 2025.0.14 bzw. ColdFusion 2023 auf 2023.0.26 vorrangig aktualisieren und anschliessend die Anwendungen testen.
- Konten mit lokaler Anmeldeberechtigung auf ColdFusion-Servern prüfen und lokalen sowie administrativen Zugriff einschränken.
- Die vollständige CVE-Liste des Bulletins APSB26-144 prüfen, da das gleiche Update viele weitere CVEs abdeckt.
- ColdFusion-Server auf unerwartete Prozesse überwachen, die vom ColdFusion-Dienst gestartet werden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- Adobe ColdFusion 2025 Updates guides.adobe.com
- Adobe ColdFusion 2023 Updates guides.adobe.com
- Zero Day Initiative: October 2026 Security Update Review www.zerodayinitiative.com
- Tenable Nessus plugin 366551 www.tenable.com
- ThreatInt CVE-2026-106090 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:11.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.