Adobe ColdFusion: Server-Side Request Forgery führt zu Rechteausweitung
Zusammenfassung
CVE-2026-34634 ist eine Server-Side Request Forgery (SSRF) Schwachstelle in Adobe ColdFusion 2025 und 2023. Adobe stuft die Auswirkung als Rechteausweitung ein, und der CVE-Eintrag bewertet die Schwachstelle mit 8.6 ohne erforderliche Authentifizierung und mit geänderter Scope. Die Sicherheitsmitteilung von Adobe nennt dagegen einen anderen Wert (7.1) und setzt niedrige Berechtigungen voraus; bis Adobe oder NVD dies klärt, sollte von einer möglichen Ausnutzung ohne Authentifizierung ausgegangen werden.
Betroffen
- Adobe ColdFusion 2025 bis 2025.0.13 (alle Plattformen)
- Adobe ColdFusion 2023 bis 2023.0.25 (alle Plattformen)
Behoben in
- Adobe ColdFusion 2025 Update 14 (2025.0.14)
- Adobe ColdFusion 2023 Update 26 (2023.0.26)
Umgehung
- Unbekannt. Adobe dokumentiert keine separate Massnahme; die Behebung erfolgt durch Aktualisierung.
- Bis zur Aktualisierung die Erreichbarkeit von ColdFusion-Servern aus dem Internet einschränken.
- Adobe empfiehlt, die Sicherheitskonfigurationseinstellungen anzuwenden und die Lockdown-Leitfäden zu prüfen.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn für die Probleme dieses Updates bekannt.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- ColdFusion 2025 auf 2025.0.14 und ColdFusion 2023 auf 2023.0.26 vorrangig aktualisieren.
- Anwendungen nach der Aktualisierung testen, da Update 26 Sicherheitsänderungen enthält, die Konfigurationsanpassungen erfordern können.
- Ausgehende Anfragen von ColdFusion-Servern wo möglich einschränken und im Advisory den Abschnitt zu bekannten Problemen bezüglich Sub-Ressourcen in gerendertem HTML prüfen.
- Protokolle auf ungewöhnliche ausgehende Anfragen von ColdFusion-Servern prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- ColdFusion 2025 updates (Adobe) guides.adobe.com
- ColdFusion 2023 updates (Adobe) guides.adobe.com
- ColdFusion 2023 Release Update 26 (Adobe) guides.adobe.com
- CVE-2026-34634 at Strix www.strix.ai
- CVE-2026-34634 at ThreatInt cve.threatint.com
- Adobe October 2026 security fixes (Blacktree) blacktree.nl
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:18.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.