Adobe ColdFusion: Fehlerhafte Autorisierung ermöglicht Codeausführung
Zusammenfassung
Adobe ColdFusion 2023 und 2025 enthalten eine Schwachstelle durch fehlerhafte Autorisierung (CWE-863), die eine beliebige Codeausführung im Kontext des aktuellen ColdFusion-Benutzers ermöglichen kann. Der Angriffsvektor ist lokal und erfordert ein Konto mit niedrigen Berechtigungen, daher benötigt ein Angreifer einen Zugriff auf den Server oder einen anderen Weg zu einem solchen Konto. Es ist keine Benutzerinteraktion nötig, und da sich der Scope ändert, kann die Auswirkung über ColdFusion hinausgehen. Adobe meldet keine bekannte Ausnutzung in freier Wildbahn, und es wurde kein öffentlicher Proof of Concept gefunden.
Betroffen
- Adobe ColdFusion 2025 bis und mit 2025.0.13
- Adobe ColdFusion 2023 bis und mit 2023.0.25
Behoben in
- Adobe ColdFusion 2025 Update 14 (2025.0.14)
- Adobe ColdFusion 2023 Update 26 (2023.0.26)
Umgehung
Unbekannt. Es ist keine CVE-spezifische Workaround-Massnahme dokumentiert; das Update ist die einzige Behebung.
Ausnutzung
- Adobe ist keine Ausnutzung der Schwachstellen dieses Bulletins in freier Wildbahn bekannt.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- ColdFusion 2025 auf 2025.0.14 und ColdFusion 2023 auf 2023.0.26 aktualisieren, als Teil des vollständigen Bulletins APSB26-144.
- Anwendungen vor dem Rollout testen, da Update 26 Änderungen enthält, die Konfigurationsanpassungen erfordern können.
- Lokale Konten und die Exposition des ColdFusion Administrators überprüfen.
- Nach dem Patchen das System auf unerwartete Codeausführung prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- ColdFusion 2023 Release Update 26 (Adobe Guide) guides.adobe.com
- Tenable plugin 366551 www.tenable.com
- Adobe October 2026 security fixes (Blacktree) blacktree.nl
- Adobe ColdFusion October 2026 patches (Yaam Labs) yaamlabs.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:10.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.