Adobe ColdFusion: Unzureichende Berechtigungsprüfung ermöglicht Codeausführung
Zusammenfassung
Adobe ColdFusion 2023 und 2025 enthalten eine Schwachstelle durch unzureichende Berechtigungsprüfung (CWE-863), die zu einer beliebigen Codeausführung im Kontext des aktuellen Benutzers führen kann. Ein Angreifer mit niedrigen Privilegien kann sie ohne Benutzerinteraktion ausnutzen, wobei die Ausnutzung von Bedingungen abhängt, die der Angreifer nicht kontrolliert. Der offizielle CVE-Eintrag beschreibt einen lokalen Angriffsvektor mit hoher Komplexität und einem geänderten Scope (CVSS 7.8). Das Herstellerbulletin APSB26-144 ordnet diese CVE-ID einer anderen Kategorie zu (SSRF, High, CVSS 7.1), was noch nicht bei Adobe verifiziert wurde.
Betroffen
- Adobe ColdFusion 2025: 0 bis 2025.0.13
- Adobe ColdFusion 2023: 0 bis 2023.0.25
Behoben in
- Adobe ColdFusion 2025: 2025.0.14
- Adobe ColdFusion 2023: 2023.0.26
Umgehung
- Unbekannt. Es wurde keine patch-unabhängige Massnahme bestätigt.
- Den Zugriff auf den ColdFusion Administrator einschränken und diesen nicht dem Internet aussetzen.
- Die Darstellung von nicht vertrauenswürdigem HTML mit externen Ressourcen-URLs über cfdocument vermeiden, bis Adobe die Lücke bei der ausgehenden Netzwerkrichtlinie behoben hat.
Ausnutzung
- Adobe ist keine Ausnutzung der Schwachstellen in APSB26-144 in freier Wildbahn bekannt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Tenable: Es sind keine bekannten Exploits verfügbar.
- KEV-Status: nicht geprüft.
- Öffentlicher Proof-of-Concept-Code: keiner gefunden.
Unsere Empfehlung
- ColdFusion 2025 auf 2025.0.14 bzw. ColdFusion 2023 auf 2023.0.26 so rasch wie möglich aktualisieren und das Update als Ganzes einspielen, da das Bulletin weitere kritische und hohe Schwachstellen enthält.
- Den ColdFusion Administrator und die Exposition gegenüber dem Internet einschränken.
- Die installierte Version und den Status des Sicherheits-Hotfixes auf allen Servern prüfen.
- Bei Adobe klären, ob CVE-2026-106614 als Incorrect Authorization oder als SSRF eingestuft ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- Strix: CVE-2026-106614 www.strix.ai
- Tenable Nessus plugin 366551 www.tenable.com
- Adobe ColdFusion 2023 Release Update 26 guides.adobe.com
- Blacktree: Adobe October 2026 security fixes blacktree.nl
- Foundeo HackMyCF: ColdFusion security issues foundeo.com
- CVE record mirror: CVE-2026-106614 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 00:07.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.