Adobe ColdFusion: Fehlerhafte Berechtigungsprüfung führt zu Codeausführung
Zusammenfassung
Adobe ColdFusion 2025 (bis 2025.0.13) und ColdFusion 2023 (bis 2023.0.25) enthalten eine fehlerhafte Berechtigungsprüfung (CWE-863). Ein Angreifer, der die verwundbare Komponente über das benachbarte Netzwerk erreichen kann, kann ohne Berechtigungen und ohne Benutzerinteraktion beliebigen Code im Kontext des aktuellen Benutzers ausführen. Standardmässig ist die Komponente auf eine administrative Netzwerkzone beschränkt, daher hängt die Exposition davon ab, ob ColdFusion-Administrationspfade aus nicht vertrauenswürdigen Netzen erreichbar sind. Die Bulletin-Kopien von Adobe nennen unterschiedliche Bewertungen, daher ist der CVSS-Wert unsicher.
Betroffen
- Adobe ColdFusion 2025: 0 bis einschliesslich 2025.0.13
- Adobe ColdFusion 2023: 0 bis einschliesslich 2023.0.25
Behoben in
- Adobe ColdFusion 2025: 2025.0.14 (Update 14)
- Adobe ColdFusion 2023: 2023.0.26 (Update 26)
Umgehung
Keine CVE-spezifische Massnahme dokumentiert. Adobe empfiehlt, die Sicherheitskonfigurationseinstellungen für ColdFusion anzuwenden und die relevanten Lockdown-Leitfäden zu prüfen.
Ausnutzung
- Adobe ist kein Ausnutzen der Schwachstellen in dieser Aktualisierung in freier Wildbahn bekannt.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.
- Kein öffentlicher Proof of Concept gefunden; nicht unabhängig verifiziert.
Unsere Empfehlung
- Aktualisieren Sie ColdFusion 2025 auf 2025.0.14 und ColdFusion 2023 auf 2023.0.26 so rasch wie möglich und behandeln Sie das Update als hohe Priorität.
- Beschränken Sie den Zugriff auf die administrativen und verwaltenden Schnittstellen von ColdFusion auf vertrauenswürdige interne Netzwerke; setzen Sie diese nicht dem Internet aus.
- Prüfen Sie, welche ColdFusion-Instanzen existieren und ob sie aus nicht vertrauenswürdigen Netzen erreichbar sind.
- Prüfen Sie die Logs auf ungewöhnliche administrative Anfragen und unerwartete Prozesse auf ColdFusion-Servern.
- Testen Sie das Update zuerst und befolgen Sie danach die Leitfäden zur Sicherheitskonfiguration und zum Lockdown, da Adobe Änderungen auflistet, die bestehende Anwendungen beeinflussen können.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-144 www.adobe.com
- Strix CVE-2026-75994 www.strix.ai
- CVE Threat Intelligence CVE-2026-75994 cve.threatint.com
- Adobe ColdFusion 2025 updates guides.adobe.com
- Adobe ColdFusion 2023 updates guides.adobe.com
- Tenable plugin 366551 www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:54.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.