Adobe ColdFusion: Remote Code Execution durch unzureichende Eingabevalidierung
Zusammenfassung
Adobe ColdFusion enthält eine unzureichende Eingabevalidierung (CWE-20, CVE-2026-106619), durch die beliebiger Code im Kontext des aktuellen Benutzers ausgeführt werden kann. Der Angriff kann über das Netzwerk ohne Berechtigungen und ohne Benutzerinteraktion erfolgen, die Angriffskomplexität ist jedoch hoch und die Ausnutzung hängt von Bedingungen ab, die der Angreifer nicht kontrolliert. Adobe gibt an, keine Ausnutzung in freier Wildbahn zu kennen.
Betroffen
- Adobe ColdFusion 2025: 2025.0.13 und älter
- Adobe ColdFusion 2023: 2023.0.25 und älter
- Alle Plattformen
Behoben in
- Adobe ColdFusion 2025: Aktualisierung auf 2025.0.14 (ColdFusion 2025 Update 14)
- Adobe ColdFusion 2023: Aktualisierung auf 2023.0.26 (ColdFusion 2023 Update 26)
Umgehung
- Keine Workaround-Massnahme nötig, wenn die korrigierte Version installiert werden kann.
- Die Sicherheitskonfigurationseinstellungen aus der ColdFusion-Sicherheitsdokumentation anwenden und die Lockdown-Leitfäden prüfen.
- Administrativen und externen Zugriff auf ColdFusion einschränken, bis der Patch eingespielt ist.
- Adobe rät davon ab, nicht vertrauenswürdiges HTML mit externen Ressourcen-URLs darzustellen, bis ein bekanntes Problem behoben ist.
Ausnutzung
- Adobe kennt keine Ausnutzung der in APSB26-144 behobenen Probleme in freier Wildbahn.
- Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden.
- Der Status im CISA-KEV-Katalog wurde nicht direkt überprüft.
Unsere Empfehlung
- Alle ColdFusion-Installationen der Versionen 2023 und 2025 erfassen und prüfen, ob sie aus dem Internet erreichbar sind.
- Nach Tests prioritär auf 2025.0.14 oder 2023.0.26 aktualisieren (Adobe stuft das Update in der Lösungstabelle mit Priorität 1 ein), da Update 26 Änderungen enthält, die Konfigurationsanpassungen erfordern können.
- Webserver- und Anwendungsprotokolle auf ungewöhnliche Anfragen und Codeausführung überwachen.
- Das Adobe-Bulletin APSB26-144 für die vollständige Liste der behobenen Probleme im selben Update prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- ColdFusion 2025 Updates (Adobe) guides.adobe.com
- ColdFusion 2023 Updates (Adobe) guides.adobe.com
- ColdFusion 2023 Release Update 26 (Adobe) guides.adobe.com
- Strix CVE-2026-106619 www.strix.ai
- VulDB entry 418488 vuldb.com
- Zero Day Initiative October 2026 security update review www.zerodayinitiative.com
- Blacktree: Adobe October 2026 security fixes blacktree.nl
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:11.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.