Adobe ColdFusion: Fehlende Berechtigungsprüfung erlaubt Schreibzugriff
Zusammenfassung
Adobe ColdFusion enthält eine fehlerhafte Berechtigungsprüfung (CWE-863), durch die ein Angreifer mit niedrigen Rechten Sicherheitsmassnahmen umgehen und unautorisiert auf das Dateisystem schreibend zugreifen kann. Laut dem offiziellen CVE-Eintrag ist der Scope verändert, und Vertraulichkeit sowie Integrität werden als hoch eingestuft. Für die Ausnutzung ist keine Benutzerinteraktion nötig, der CVSS-Basiswert beträgt 9.6. Das Adobe-Bulletin nennt für diese CVE abweichende Auswirkungen und Vektordaten, weshalb die Einstufung vor der finalen Risikobewertung verifiziert werden muss.
Betroffen
- Adobe ColdFusion 2025: Version 2025.0.13 und älter
- Adobe ColdFusion 2023: Version 2023.0.25 und älter
Behoben in
- Adobe ColdFusion 2025: Aktualisierung auf 2025.0.14 (Update 14)
- Adobe ColdFusion 2023: Aktualisierung auf 2023.0.26 (Update 26)
Umgehung
Unbekannt. Für diese CVE wurde kein spezifischer Workaround veröffentlicht. Die Dokumentation zum Serial Filter von Adobe beschreibt allgemeine Härtungsmassnahmen gegen unsichere Deserialisierung und behebt dieses Problem nicht.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn für die Probleme dieses Updates bekannt.
- Die SSVC-Bewertung von CISA lautet Exploitation: none und Automatable: no.
- Es ist kein öffentlicher Proof-of-Concept bekannt. Dies wurde nicht in Exploit-Datenbanken überprüft.
Unsere Empfehlung
- Alle ColdFusion-Instanzen der Zweige 2023 und 2025 erfassen und deren Versionen prüfen.
- ColdFusion 2025 Update 14 bzw. ColdFusion 2023 Update 26 prioritär einspielen, insbesondere auf Servern mit Internetzugriff.
- Administrativen Zugriff und Paketverwaltung einschränken und die Webanwendungen nach dem Patchen überprüfen.
- CVSS-Vektor und CWE gegen den NVD-Eintrag und das Adobe-Bulletin verifizieren, bevor die Risikobewertung finalisiert wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- Strix: CVE-2026-106620 www.strix.ai
- VulDB: CVE-2026-106620 vuldb.com
- Adobe ColdFusion 2023 Update 26 release notes guides.adobe.com
- Zero Day Initiative: October 2026 security update review www.zerodayinitiative.com
- Blacktree: Adobe October 2026 security fixes blacktree.nl
- Charlie Arehart: ColdFusion updates released October 13, 2026 www.carehart.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:55.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.