Adobe ColdFusion: Codeinjektion ermöglicht beliebige Codeausführung
Zusammenfassung
Adobe ColdFusion 2023 und 2025 enthalten eine Codeinjektions-Schwachstelle (CWE-94), die zur beliebigen Codeausführung im Kontext des ColdFusion-Dienstes führen kann. Gemäss dem CVE-Eintrag sind weder Benutzerinteraktion noch Berechtigungen erforderlich, und der Angriff kann über das Netzwerk erfolgen. Da der Scope geändert ist, könnte ein Angreifer Ressourcen ausserhalb der ColdFusion-Komponente beeinflussen.
Betroffen
- Adobe ColdFusion 2025 bis und mit 2025.0.13
- Adobe ColdFusion 2023 bis und mit 2023.0.25
- Plattform: Alle
Behoben in
- Adobe ColdFusion 2025 Update 14 (2025.0.14)
- Adobe ColdFusion 2023 Update 26 (2023.0.26)
- Behoben im Sicherheitsupdate APSB26-144, veröffentlicht am 13. Oktober 2026
Umgehung
Unbekannt. Für diese CVE ist keine Workaround dokumentiert. Der Hersteller empfiehlt lediglich, die JDK/JRE-LTS-Version aktuell zu halten. Die Änderungen bei der WebSocket-Invokation in 2023 Update 26 erfordern Anwendungstests und sind keine Übergangsmassnahme.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn für die Probleme in diesem Bulletin bekannt.
- In der Recherche wurde kein öffentlicher Proof-of-Concept gefunden.
- CISA-SSVC-Bewertung: Exploitation: none, Automatable: yes, Technical Impact: total.
- Die separate ColdFusion-Schwachstelle CVE-2026-48282 wird nachweislich in freier Wildbahn ausgenutzt; es handelt sich um eine andere CVE.
Unsere Empfehlung
- Alle ColdFusion-Instanzen inventarisieren, einschliesslich interner und vergessener Instanzen.
- Aus dem Internet erreichbare und ohne Authentifizierung erreichbare Instanzen zuerst patchen, innerhalb weniger Tage.
- Den Patch als Priorität 1 behandeln, weil die Versionstabelle des Bulletins die behobenen Releases als Priorität 1 ausweist, obwohl die Zusammenfassung Priorität 2 angibt.
- Das Update vor dem Rollout mit Ihren Anwendungen testen.
- Im Bulletin APSB26-144 den CVSS-Score pro CVE prüfen; die Quellen weichen ab (10.0 vs. 9.8).
- Logs auf verdächtige Kindprozesse des Webservers oder unerwartete Dateien prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- ColdFusion 2025 updates (Adobe guide) guides.adobe.com
- ColdFusion 2023 Release Update 26 (Adobe guide) guides.adobe.com
- Strix CVE-2026-106624 www.strix.ai
- Zero Day Initiative: October 2026 security update review www.zerodayinitiative.com
- Ivanti: October 2026 Patch Tuesday www.ivanti.com
- Tenable Nessus plugin 366551 www.tenable.com
- Blacktree: Adobe October 2026 security fixes blacktree.nl
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:16.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.