Adobe ColdFusion: Fehlerhafte Autorisierung ermöglicht Codeausführung
Zusammenfassung
Adobe ColdFusion 2023 und 2025 enthalten eine Schwachstelle durch fehlerhafte Autorisierung (CWE-863), die im Sicherheitsbulletin APSB26-144 behoben wird. Ein Angreifer mit niedrigen Rechten und lokalem Zugriff kann beliebigen Code im Kontext des aktuellen Benutzers ausführen, und da der Scope geändert wird, kann sich die Auswirkung über die verwundbare Komponente hinaus erstrecken. Es ist keine Benutzerinteraktion erforderlich. Adobe ist keine Ausnutzung in freier Wildbahn bekannt.
Betroffen
- Adobe ColdFusion 2025: 2025.0.13 und älter
- Adobe ColdFusion 2023: 2023.0.25 und älter
- CVSS 8.8 (v3.1), Vektor AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H gemäss CVE-Eintrag; der Auszug des Adobe-Bulletins war fehlerhaft und die Zuordnung sollte auf der Adobe-Seite überprüft werden
Behoben in
- Adobe ColdFusion 2023: Update 26 (2023.0.26), veröffentlicht am 13. Oktober 2026
- Adobe ColdFusion 2025: 2025.0.14 (Build-Nummer aus Sekundärquellen, im Adobe-Bulletin überprüfen)
Umgehung
- Keine patchunabhängige Massnahme bekannt. Unbekannt.
- Adobe rät davon ab, nicht vertrauenswürdiges HTML mit externen Ressourcen-URLs zu rendern, bis eine bekannte Lücke in der ausgehenden Richtlinie von cfdocument behoben ist.
Ausnutzung
- Adobe ist keine Ausnutzung der in APSB26-144 behandelten Probleme in freier Wildbahn bekannt.
- Tenable listet für diese CVE keine bekannten Exploits.
- Kein öffentlicher Proof of Concept gefunden.
- Ein Eintrag im CISA-KEV-Katalog ist nicht bestätigt.
Unsere Empfehlung
- Alle ColdFusion-Instanzen 2023 und 2025 identifizieren, insbesondere Server mit Internetzugang und im Intranet.
- Auf ColdFusion 2023 Update 26 oder 2025 Update 14 aktualisieren, nachdem die Zielversion auf der Adobe-Seite bestätigt wurde.
- Das gesamte Bulletin APSB26-144 einspielen, da es mehrere weitere kritische CVEs enthält, darunter eine Lücke für Datei-Uploads ohne Authentifizierung.
- Anwendungen nach dem Patchen testen, da Update 26 ein Tomcat-Upgrade und ein bekanntes Problem enthält.
- Administrativen Zugriff und Authentifizierung auf ColdFusion-Servern überprüfen und auf ungewöhnliche Aktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- Adobe ColdFusion 2023 Release Update 26 guides.adobe.com
- Blacktree: Adobe October 2026 security fixes blacktree.nl
- Zero Day Initiative: October 2026 security update review www.zerodayinitiative.com
- Tenable Nessus plugin 366551 www.tenable.com
- Strix: CVE-2026-106617 www.strix.ai
- Offseq: CVE-2026-106617 radar.offseq.com
- HKCERT: Adobe monthly security update October 2026 www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:13.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.