Zum Inhalt springen
StartAdvisoriesRansomwareCW-PodcastPodcastsBücherCreatorsSpeakerFirmenKarriereEventsCB-NetzwerkMatrix-ServerFAQBesucherstatistikFormulareSuche
CVE-2026-48282CriticalCVSS: 10

Kritische Path-Traversal-Lücke in Adobe ColdFusion ermöglicht Codeausführung (CVE-2026-48282)

Adobe ColdFusion 2025.9, 2023.20 und älter sind von einer Path-Traversal-Schwachstelle betroffen, die ohne Nutzerinteraktion zu beliebiger Codeausführung im Kontext des aktuellen Benutzers führen kann. Der CVSS-Score von 10.0 unterstreicht die dringende Notwendigkeit eines sofortigen Updates.

METADATEN

Entdeckt:
30.06.2026
Patch verfügbar:
Ja

BETROFFENE SYSTEME

  • •Adobe ColdFusion <=2023.20
  • •Adobe ColdFusion <=2025.9

Zusammenfassung

Eine als kritisch eingestufte Path-Traversal-Schwachstelle (CVE-2026-48282, CVSS 10.0) betrifft Adobe ColdFusion in den Versionen 2025.9, 2023.20 und allen früheren Releases. Die Lücke erlaubt Angreifern, ohne jegliche Nutzerinteraktion aus der Ferne beliebigen Code im Kontext des aktuellen Benutzers auszuführen. Adobe stellt Sicherheitsupdates bereit, die zeitnah eingespielt werden sollten.

Technische Details

Die Schwachstelle ist als “Improper Limitation of a Pathname to a Restricted Directory” (CWE-22, Path Traversal) klassifiziert. Angreifer können durch speziell manipulierte Eingaben die Pfadbeschränkungen der Anwendung umgehen und auf Dateien oder Verzeichnisse außerhalb des vorgesehenen Bereichs zugreifen.

Da keine Nutzerinteraktion erforderlich ist und die Ausführung im geänderten Scope erfolgt, lässt sich die Lücke insbesondere für folgende Angriffsszenarien ausnutzen:

  • Ausführung von beliebigem Code auf dem ColdFusion-Server
  • Auslesen oder Manipulation sensibler Konfigurationsdateien
  • Laterale Bewegung im internen Netzwerk nach erstem Zugriff
  • Kompromittierung weiterer Dienste, die auf derselben Instanz laufen

Die Ausnutzung erfordert typischerweise nur Netzwerkzugriff auf den HTTP/HTTPS-Endpunkt der ColdFusion-Instanz, was die Angriffsfläche erheblich vergrößert.

Betroffene Systeme

  • Adobe ColdFusion 2025.9 und älter
  • Adobe ColdFusion 2023.20 und älter

Empfehlungen und Maßnahmen

  1. Sofortiges Update: ColdFusion-Instanzen unverzüglich auf die von Adobe bereitgestellten gepatchten Versionen aktualisieren (siehe APSB26-68).
  2. Workaround prüfen: Falls ein Patch nicht sofort eingespielt werden kann, den administrativen Zugriff auf den ColdFusion-Administrator einschränken und den externen Zugriff auf den Server übergangsweise sperren.
  3. Protokolle auswerten: Auf ungewöhnliche HTTP-Anfragen mit Pfad-Manipulationen (z. B. “../”, URL-Encoding, Unicode-Escapes) im Access-Log achten.
  4. Eindämmung prüfen: Prüfen, ob es Hinweise auf eine bereits erfolgte Kompromittierung gibt – insbesondere neue Prozesse, unbekannte Dateien im CF-Verzeichnis oder ausgehende Verbindungen zu unbekannten Zielen.
  5. Härtung: Nach dem Patch-Spiel Härtungsmaßnahmen wie deaktivierte externen Administratorzugriff, restriktive Sandbox-Einstellungen und ein WAF mit Path-Traversal-Signaturen evaluieren.

Quellen

REFERENZEN