Adobe ColdFusion: Fehlerhafte Autorisierung ermöglicht Remote Code Execution
Zusammenfassung
Adobe ColdFusion 2023 und 2025 enthalten eine Schwachstelle durch fehlerhafte Autorisierung (CVE-2026-106612, CVSS 9.9). Ein Angreifer mit niedrigen Privilegien kann beliebigen Code im Kontext des aktuellen Benutzers ausführen, mit geänderter Scope und hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Es ist keine Benutzerinteraktion nötig, der Angreifer benötigt aber ein gültiges Konto oder eine andere Möglichkeit, einen Zugang mit niedrigen Privilegien zu erlangen.
Betroffen
- Adobe ColdFusion 2025: 2025.0.13 und älter
- Adobe ColdFusion 2023: 2023.0.25 und älter
- Plattform: alle
Behoben in
- Adobe ColdFusion 2025: Update auf 2025.0.14 (Update 14)
- Adobe ColdFusion 2023: Update auf 2023.0.26 (Update 26)
Umgehung
Unbekannt. Für diese CVE ist kein spezifischer Workaround veröffentlicht; das Update einspielen.
Ausnutzung
- Adobe ist keine Ausnutzung der Schwachstellen in APSB26-144 in freier Wildbahn bekannt.
- Kein öffentlicher Proof of Concept gefunden. CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.
- Tenable listet keine bekannten Exploits.
Unsere Empfehlung
- ColdFusion 2025 auf 2025.0.14 und ColdFusion 2023 auf 2023.0.26 so rasch wie möglich patchen.
- Alle ColdFusion-Instanzen inventarisieren, auch auf Windows-Hosts.
- Administrator- und RDS-Zugriff einschränken und prüfen, wer Konten auf dem Server besitzt.
- Logs auf unerwartete authentifizierte Aktivitäten prüfen.
- Patch-Frist im Adobe-Bulletin bestätigen, da sich die Quellen bei der Priorität unterscheiden (Adobe stuft es als Priority 2 ein).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- ColdFusion 2023 Release Update 26 guides.adobe.com
- Tenable Nessus plugin 366551 www.tenable.com
- Zero Day Initiative: October 2026 security update review www.zerodayinitiative.com
- Charlie Arehart: ColdFusion updates released Oct 13, 2026 www.carehart.org
- Blacktree: Adobe October 2026 security fixes blacktree.nl
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:22.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.