Adobe ColdFusion: Incorrect Authorization führt zu Remote Code Execution
Zusammenfassung
Adobe ColdFusion 2023 und 2025 enthalten eine Schwachstelle vom Typ Incorrect Authorization (CWE-863). Ein Angreifer mit hohen Privilegien aus einem benachbarten Netzwerk kann Code beliebig ausführen, im Kontext des aktuellen Benutzers und mit geändertem Scope. Die verwundbare Komponente ist standardmässig auf eine administrative Netzwerkzone beschränkt, und es ist keine Benutzerinteraktion nötig.
Betroffen
- Adobe ColdFusion 2025: 2025.0.13 und frühere Versionen
- Adobe ColdFusion 2023: 2023.0.25 und frühere Versionen
Behoben in
- Adobe ColdFusion 2025 Update 14 (2025.0.14)
- Adobe ColdFusion 2023 Update 26 (2023.0.26)
Umgehung
- Kein Workaround nötig; das Patch einspielen.
- Die administrative Oberfläche von ColdFusion nicht über das öffentliche Internet erreichbar machen.
- Die von Adobe beschriebenen Sicherheitskonfigurationen anwenden und die Lockdown-Leitfäden prüfen.
- Bekanntes Problem: Die neue Richtlinie für ausgehenden Netzwerkverkehr prüft bei cfdocument nur die oberste URL, nicht Subressourcen-URLs. Kein unvertrauenswürdiges HTML mit externen Ressourcen-URLs rendern, bis Adobe das Problem behoben hat.
Ausnutzung
- Adobe ist keine Ausnutzung der Schwachstellen in APSB26-144 in freier Wildbahn bekannt.
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
- Öffentlicher Proof of Concept: Unbekannt.
- Status im CISA KEV: Unbekannt.
Unsere Empfehlung
- Alle ColdFusion-Installationen der Versionen 2023 und 2025 identifizieren.
- Auf 2025.0.14 oder 2023.0.26 oder neuer aktualisieren, als Teil des vollständigen APSB26-144-Updates.
- Diese CVE nicht isoliert patchen; dasselbe Bulletin enthält kritischere Schwachstellen ohne Authentifizierung, daher internetexponierte Server priorisieren.
- Sicherstellen, dass die administrative Oberfläche nicht im Internet erreichbar ist und Administratorkonten eingeschränkt sind, starke Authentisierung verwenden und nicht wiederverwendet werden.
- Auf unerwartete Codeausführung oder administrative Aktivitäten auf ColdFusion-Servern achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- Adobe ColdFusion 2025 Updates guides.adobe.com
- Adobe ColdFusion 2023 Release Update 26 guides.adobe.com
- CVE record mirror (threatint) cve.threatint.com
- Strix CVE-2026-71385 www.strix.ai
- Blacktree analysis of October 2026 Adobe fixes blacktree.nl
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:28.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.