Worum es geht

ColdFusion ist ein Applikationsserver sowie Framework zur Erstellung von Web basierten Applikationen. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Adobe ColdFusion ausnutzen, um beliebigen Code auszuführen, erweiterte Berechtigungen zu erlangen, Sicherheitsmaßnahmen zu umgehen, Cross-Site-Scripting-Angriffe durchzuführen, Daten zu manipulieren oder vertrauliche Informationen offenzulegen.

Unter welchen Bedingungen?

Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.

Was schlimmstenfalls passieren kann

Ein Angreifer könnte die Lücke nutzen, um

• beliebigen Code auszuführen
• erweiterte Berechtigungen zu erlangen
• Sicherheitsmaßnahmen zu umgehen
• Cross-Site-Scripting-Angriffe durchzuführen
• Daten zu manipulieren oder vertrauliche Informationen offenzulegen

Bin ich betroffen?

Betroffen sind laut BSI:

• Adobe ColdFusion ColdFusion 2025 <Update 10
• Adobe ColdFusion ColdFusion 2023 <Update 21

Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.

Was hilft?

Aktualisieren auf mindestens:

• Adobe ColdFusion ColdFusion 2025 Update 10
• Adobe ColdFusion ColdFusion 2023 Update 21

Wird die Lücke schon ausgenutzt?

• CVE-2026-48282: laut CISA in freier Wildbahn ausgenutzt, im Katalog seit 07.07.2026.