Die Adobe ColdFusion Sicherheitslücke CVE-2026-48282 zeigt, wie schnell Angreifer heute reagieren: Nur wenige Stunden nach der Veröffentlichung liefen bereits erste Angriffe. Adobe hat Anfang Juli 2026 insgesamt sieben Schwachstellen mit dem Höchstwert CVSS 10.0 in ColdFusion und Adobe Campaign Classic geschlossen. Wer die Software betreibt, sollte jetzt handeln.
Sieben kritische Lücken auf einen Schlag
Im Sicherheitsbulletin APSB26-68 bündelt Adobe eine ganze Reihe schwerwiegender Fehler. Sicherheitsforscher von watchTowr Labs analysierten die Schwachstellen und tauften den Fund augenzwinkernd eine ‘CVE-Bonanza’. Mehrere der Lücken erlauben Angreifern, beliebigen Code auf verwundbaren Servern auszuführen – ganz ohne Anmeldung.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
CVE-2026-48282: Path Traversal mit direktem Weg zur Codeausführung
Besonders brisant ist CVE-2026-48282, ein Path-Traversal-Fehler (CWE-22) mit CVSS-Wert 10.0. Die Lücke erlaubt es, Dateien an beliebigen Orten auf dem System zu schreiben. Laut watchTowr Labs führt dieser Schreibzugriff auf einem trivialen Weg zur vollständigen Codeausführung. Betroffen sind ColdFusion 2025 bis einschließlich Update 9 sowie ColdFusion 2023 bis einschließlich Update 20 auf allen unterstützten Plattformen.
Die aktive Ausnutzung ließ nicht lange auf sich warten: Bereits Stunden nach der Veröffentlichung protokollierten Sicherheitsteams einen Angriffsversuch von einer IP-Adresse mit Geolokation in Indien. Der Angreifer versuchte, die Datei C:\Windows\win.ini auszulesen – ein klassischer erster Test, ob eine Path-Traversal-Lücke tatsächlich funktioniert.
Wer ist von der Adobe ColdFusion Sicherheitslücke betroffen?
Betroffen sind alle Unternehmen, die ColdFusion-Server im Einsatz haben, etwa für interne Portale, Kundenportale oder Legacy-Anwendungen. Auch Adobe Campaign Classic ist mit mehreren Höchstrisiko-Lücken betroffen. Da ColdFusion häufig in älteren, aber geschäftskritischen Systemen läuft, unterschätzen viele Admins das Risiko.
So patchst du jetzt richtig
- ColdFusion 2025: Update auf Update 10 installieren
- ColdFusion 2023: Update auf Update 21 installieren
- Campaign Classic: die von Adobe bereitgestellten Patches umgehend einspielen
- Server-Logs auf verdächtige Zugriffe auf Systemdateien wie win.ini prüfen
Adobe rät angesichts der aktiven Angriffe, die Updates binnen 72 Stunden einzuspielen. Wer das nicht schafft, sollte den Zugriff auf die Admin-Oberfläche zumindest per Firewall auf vertrauenswürdige IP-Adressen einschränken.
Ein Muster, das sich wiederholt
Die Adobe ColdFusion Sicherheitslücke reiht sich in eine lange Liste aktiv ausgenutzter Schwachstellen der vergangenen Wochen ein – erst kürzlich sorgte die SharePoint-Sicherheitslücke CVE-2026-45659 für ähnlichen Alarm. Der Trend ist eindeutig: Zwischen Veröffentlichung eines Patches und den ersten Angriffsversuchen liegen oft nur Stunden. Wer Patches aufschiebt, riskiert eine Kompromittierung noch am selben Tag.
Quellen
- The Hacker News: Adobe Patches 7 CVSS 10.0 Flaws in ColdFusion and Campaign Classic
- watchTowr Labs: Adobe ColdFusion Security Bulletin APSB26-68
- BleepingComputer: Adobe patches seven max severity ColdFusion, Campaign flaws
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden