Adobe ColdFusion: Fehlerhafte Autorisierung ermöglicht Remote Code Execution
Zusammenfassung
Adobe ColdFusion 2025 und 2023 enthalten eine Schwachstelle durch fehlerhafte Autorisierung (CWE-863), die zur Ausführung von beliebigem Code im Kontext des aktuellen Benutzers führen kann. Gemäss CVE-Eintrag kann ein Angreifer mit niedrigen Berechtigungen und lokalem Zugriff sie ohne Benutzerinteraktion ausnutzen, und der Scope wird verändert. Das Adobe-Bulletin APSB26-144 beschreibt das Problem anders (netzwerkseitig erreichbar, keine Benutzerinteraktion), weshalb die Exponierung überprüft werden muss.
Betroffen
- Adobe ColdFusion 2025: Versionen 0 bis 2025.0.13
- Adobe ColdFusion 2023: Versionen 0 bis 2023.0.25
- Plattform: alle
- CVSS 8.8 (v3.1, High) gemäss CVE-Eintrag: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
- Abweichung beim Vektor: Das Layout des Adobe-Bulletins scheint für dieses CVE AV:N und S:U anzugeben; nicht bestätigt.
Behoben in
- Adobe ColdFusion 2025: Update auf 2025.0.14 oder neuer
- Adobe ColdFusion 2023: Update auf 2023.0.26 oder neuer
Umgehung
Keine CVE-spezifische Massnahme bekannt.
- Zugriff auf den ColdFusion-Administrator und die RDS-Endpunkte einschränken.
- Lokalen Zugriff und Zugriff mit niedrigen Berechtigungen auf den Server bis zur Behebung begrenzen.
Ausnutzung
- Adobe ist keine Ausnutzung dieser Schwachstelle in freier Wildbahn bekannt.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.
- Kein öffentlicher Proof of Concept gefunden; der Status darüber hinaus ist unbekannt.
- Nicht als Eintrag im CISA-KEV-Katalog verifiziert.
- Die ausgenutzte Schwachstelle CVE-2026-48282 ist ein anderes Problem und deutet nicht auf eine Ausnutzung dieses CVE hin.
Unsere Empfehlung
- Alle ColdFusion-Instanzen und deren Versionen inventarisieren.
- Auf 2025.0.14 oder 2023.0.26 oder neuer patchen und die Anwendungen testen, da das Update das Verhalten ändert.
- Die Sicherheitsänderungen von Update 26 prüfen, etwa die Richtlinie für ausgehenden Netzwerkverkehr und die Anforderungen an die Update-Verwaltungsrolle.
- Den CVSS-Vektor und die Priorität im aktuellen Bulletin APSB26-144 sowie im NVD-Eintrag überprüfen.
- Das Update als dringlich behandeln, da die Veröffentlichung mehrere kritische Schwachstellen enthält.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- ColdFusion 2023 Release Update 26 (Adobe Guides) guides.adobe.com
- Strix CVE-2026-106615 www.strix.ai
- Tenable plugin pipeline issue 234037 www.tenable.com
- OffSeq Radar CVE-2026-106615 radar.offseq.com
- BlackTree Adobe October 2026 security fixes blacktree.nl
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:12.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.