Adobe ColdFusion: Unzureichende Eingabevalidierung ermöglicht Codeausführung
Zusammenfassung
Adobe ColdFusion 2025 bis einschliesslich 2025.0.13 und 2023 bis einschliesslich 2023.0.25 sind betroffen. Gemäss dem CNA-Eintrag kann ein Angreifer mit niedrigen Berechtigungen über das Netzwerk ohne Benutzerinteraktion durch unzureichende Eingabevalidierung beliebigen Code im Kontext des aktuellen Benutzers ausführen. Das Adobe-Advisory führt diese CVE-ID mit abweichenden Angaben (CWE-918, CVSS 7.1, hohe Komplexität), daher müssen die genauen Bedingungen noch bestätigt werden.
Betroffen
- Adobe ColdFusion 2025: 0 bis 2025.0.13
- Adobe ColdFusion 2023: 0 bis 2023.0.25
- Plattform: Alle
Behoben in
- Adobe ColdFusion 2025: 2025.0.14 (APSB26-144, 13. Oktober 2026)
- Adobe ColdFusion 2023: 2023.0.26 (APSB26-144, 13. Oktober 2026)
Umgehung
- Unbekannt. Es ist kein CVE-spezifischer Workaround dokumentiert; das Patchen ist die einzige dokumentierte Behebung.
- Eine IPS-Schutzregel von Check Point verweist auf diese Schwachstelle unter einer anderen ID; ihre Abdeckung dieser CVE ist nicht verifiziert.
Ausnutzung
- Adobe ist keine Ausnutzung der in APSB26-144 behobenen Probleme in freier Wildbahn bekannt.
- Kein öffentlicher Proof of Concept gefunden: Unbekannt.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Alle ColdFusion-Instanzen 2025 und 2023 prioritär auf 2025.0.14 beziehungsweise 2023.0.26 (oder neuer) aktualisieren.
- Prüfen, ob eine Instanz, einschliesslich der Administrationsoberflächen, aus dem Internet erreichbar ist.
- CVE-Zuordnung, CWE und CVSS-Wert vor der Verwendung in Berichten bei Adobe oder NVD verifizieren; die Quellen widersprechen sich.
- Das vollständige Adobe-Advisory APSB26-144 prüfen, da weitere Probleme darin als kritisch eingestuft sind.
- JDK/JRE und MySQL Connector gemäss Empfehlung von Adobe aktualisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- OffSeq threat radar: CVE-2026-106613 radar.offseq.com
- Strix: CVE-2026-106613 www.strix.ai
- Blacktree: Adobe October 2026 security fixes blacktree.nl
- HKCERT: Adobe monthly security update October 2026 www.hkcert.org
- Check Point advisory CPAI-2026-14622 advisories.checkpoint.com
- Zero Day Initiative: October 2026 security update review www.zerodayinitiative.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:12.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.