Adobe ColdFusion: Server-Side Request Forgery führt zu Rechteausweitung

Zusammenfassung

Adobe ColdFusion 2023 und 2025 enthalten eine Server-Side Request Forgery (SSRF)-Schwachstelle, erfasst als CVE-2026-106622. Gemäss CVE-Eintrag und CVSS-Vektor kann ein Angreifer aus der Ferne, ohne Zugangsdaten und ohne Benutzerinteraktion, diese Schwachstelle für eine Rechteausweitung missbrauchen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Adobe ist keine Ausnutzung in freier Wildbahn bekannt. Eine Drittquelle beschreibt die Schwachstelle als Code Injection, weshalb die genaue Ursache nicht vollständig bestätigt ist.

Betroffen

• Adobe ColdFusion 2025: 0 bis 2025.0.13
• Adobe ColdFusion 2023: 0 bis 2023.0.25
• Plattform: alle

Behoben in

• Adobe ColdFusion 2025 Update 14 (2025.0.14)
• Adobe ColdFusion 2023 Update 26 (2023.0.26)

Advisory: APSB26-144, veröffentlicht am 13. Oktober 2026, zuletzt aktualisiert am 21. Oktober 2026.

Umgehung

• Update 26 fügt eine Sicherheitsrichtlinie für ausgehende Netzwerkverbindungen hinzu, die vom Server initiierte HTTP/HTTPS-Verbindungen betrifft. Sie wird in cfusion/lib/security-settings.json konfiguriert. Die SSRF-Schutzeinstellung muss aktiviert bleiben.
• Bekanntes Problem: Die Richtlinie prüft für ausgehende Verbindungen nur die oberste URL, die von cfdocument abgerufen wird, nicht die Sub-Ressourcen-URLs innerhalb des gerenderten HTML. Rendern Sie kein unvertrauenswürdiges HTML mit externen Ressourcen-URLs, bis Adobe dies behoben hat.
• Bis das Update installiert ist, beschränken Sie ausgehende Verbindungen vom ColdFusion-Server über die Firewall und begrenzen Sie den Zugriff auf die Administrationsoberfläche sowie auf Funktionen für unvertrauenswürdige Dokumente.

Ausnutzung

• Adobe ist keine Ausnutzung der Schwachstellen dieses Updates in freier Wildbahn bekannt.
• Die CVE ist nicht im CISA-KEV-Katalog aufgeführt. CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Der EPSS-Wert lag Ende Oktober 2026 bei etwa 0.7%.
• Es wurde kein öffentlicher Proof-of-Concept gefunden.

Unsere Empfehlung

• Behandeln Sie dies als dringend. Aus dem Internet erreichbare ColdFusion-Server sollten innerhalb derselben Woche gepatcht werden; rein interne Server im normalen Notfallzyklus.
• Prüfen Sie die installierte ColdFusion-Version und aktualisieren Sie auf 2025.0.14 oder 2023.0.26 (APSB26-144 umfasst insgesamt 32 CVEs).
• Setzen Sie die Einschränkungen für ausgehende Verbindungen und die Sicherheitsrichtlinie von Update 26 um und lassen Sie den SSRF-Schutz aktiviert.
• Überwachen Sie ausgehende Verbindungen des ColdFusion-Servers und prüfen Sie Logs auf unerwartete serverseitige Anfragen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Adobe Security Bulletin APSB26-144 www.adobe.com
• ColdFusion 2023 Release Update 26 documentation guides.adobe.com
• Adobe October 2026 security fixes (blacktree.nl) blacktree.nl
• Tenable plugin 366551 (differing root-cause description) www.tenable.com
• VulDB entry 418496 (different CVSS score) vuldb.com
• GitHub Advisory GHSA-g6h4-j5vh-j666 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:16.