Adobe ColdFusion: Code-Injection mit Remote Code Execution

Zusammenfassung

Adobe ColdFusion 2025 bis 2025.0.13 und ColdFusion 2023 bis 2023.0.25 enthalten eine Code-Injection-Schwachstelle (CWE-94), bei der die Erzeugung von Code nicht ausreichend kontrolliert wird. Laut CVE-Beschreibung kann ein nicht authentifizierter Angreifer aus dem Netzwerk ohne Benutzerinteraktion beliebigen Code im Kontext des aktuellen Benutzers ausführen. Das Bulletin von Adobe nennt als Auswirkung hingegen Privilege Escalation, weshalb die Quellen bezüglich der genauen Auswirkung uneinheitlich sind. Adobe meldet keine bekannte Ausnutzung in freier Wildbahn.

Betroffen

• Adobe ColdFusion 2025: 0 bis 2025.0.13 (alle Plattformen)
• Adobe ColdFusion 2023: 0 bis 2023.0.25 (alle Plattformen)

Behoben in

• Adobe ColdFusion 2025: Update auf 2025.0.14 (Update 14)
• Adobe ColdFusion 2023: Update auf 2023.0.26 (Update 26)
• Update 26 für 2023 enthält ein Tomcat-Upgrade und Änderungen, die ein Eingreifen durch Administratoren erfordern können, etwa strengere Pfade für Report-Templates und Regeln für Admin-Endpunkte. Die Versionshinweise vor dem Update prüfen.

Umgehung

• Kein herstellerseitiger Workaround speziell für diese CVE. Adobe empfiehlt, die Sicherheitskonfigurationseinstellungen anzuwenden und die Lockdown-Leitfäden in der ColdFusion-Dokumentation zu prüfen.
• Check Point hat einen IPS-Schutz veröffentlicht, der Ausnutzungsversuche erkennt. Dieser ist eine kompensierende Massnahme und keine Behebung.

Ausnutzung

• Adobe ist keine Ausnutzung in freier Wildbahn für die Probleme in diesem Update bekannt.
• In der Recherche wurde kein öffentlicher Proof of Concept gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Der Status im CISA-KEV-Katalog wurde nicht direkt überprüft.

Unsere Empfehlung

• Alle ColdFusion-Instanzen inventarisieren, einschliesslich Test- und Altsystemen.
• Prioritär auf 2025.0.14 oder 2023.0.26 (oder neuer) aktualisieren. Die Planung soll sich an der Priorität 1 in der Lösungstabelle von Adobe orientieren, da der Kopfbereich des Bulletins Priorität 2 angibt.
• Internetzugriff auf ColdFusion-Admin- und Anwendungsports bis zur Behebung einschränken.
• Als vorübergehende Massnahme IPS-Schutz auf Perimeter-Gateways aktivieren.
• Auf Anzeichen einer Kompromittierung prüfen: unerwartete Dateien in Webroots, neue geplante Aufgaben, ungewöhnliche Child-Prozesse des ColdFusion-Dienstes.
• Das gesamte Bulletin vom Oktober 2026 einspielen, da andere kritische Schwachstellen wie CVE-2026-105899 im selben Release behoben werden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Adobe Security Bulletin APSB26-144 www.adobe.com
• Adobe ColdFusion 2025 updates guides.adobe.com
• ColdFusion 2023 Release Update 26 guides.adobe.com
• Check Point advisory CPAI-2026-14619 (IPS protection) advisories.checkpoint.com
• Tenable Nessus plugin 366551 www.tenable.com
• Blacktree: Adobe October 2026 security fixes blacktree.nl
• Strix CVE-2026-106621 (KEV status, third-party) www.strix.ai
• CVE-2026-106621 record aggregator cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:40.