Die ColdFusion Sicherheitslücke CVE-2026-48282 ist der Albtraum jedes Admins: Höchstwertung 10.0 im CVSS-Score, keine Authentifizierung nötig und bereits wenige Stunden nach Bekanntwerden aktiv ausgenutzt. Adobe hat den Patch zwar bereitgestellt, doch die Angreifer waren schneller. Wer ColdFusion betreibt, sollte jetzt handeln und nicht bis zum nächsten Wartungsfenster warten.
ColdFusion Sicherheitslücke CVE-2026-48282 im Detail
Die Schwachstelle steckt im FILEIO-Handler der Remote Development Services (RDS) von Adobe ColdFusion. Durch eine unzureichende Pfadprüfung kann ein Angreifer aus dem vorgesehenen Verzeichnis ausbrechen. Fachleute nennen das Path Traversal. In der Folge lassen sich beliebige Dateien lesen und schreiben.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Das ist besonders gefährlich, weil sich so ausführbare CFML-Dateien direkt in den Web-Root schreiben lassen. Damit erlangt der Angreifer eine vollständige Remote-Code-Ausführung (RCE). Ist die RDS-Authentifizierung deaktiviert, ist dafür nicht einmal ein Login nötig. Genau diese Kombination führt zum maximalen CVSS-Score von 10.0.
Aktive Ausnutzung binnen Stunden
Sicherheitsforscher beobachteten Angriffsversuche schon kurz nach der Veröffentlichung. Eine der ersten Attacken kam von einer IP-Adresse aus Indien. Der Angreifer versuchte dabei, die Systemdatei C:\Windows\win.ini auszulesen, ein klassischer Test, um Path Traversal zu bestätigen.
Die US-Behörde CISA reagierte prompt und nahm die Lücke in ihren Katalog der bekannten ausgenutzten Schwachstellen (KEV) auf. US-Bundesbehörden mussten bis zum 10. Juli 2026 patchen. Diese Frist zeigt, wie ernst die Gefahr eingeschätzt wird.
Diese Versionen sind betroffen
Adobe schloss die Lücke am 30. Juni 2026 mit dem Sicherheits-Bulletin APSB26-68. Betroffen sind folgende Versionen:
- Adobe ColdFusion 2025, Update 9 und älter
- Adobe ColdFusion 2023, Update 20 und älter
CVE-2026-48282 war übrigens nur eine von sieben Schwachstellen mit CVSS 10.0, die Adobe in ColdFusion und Campaign Classic gleichzeitig beheben musste. Das unterstreicht, wie kritisch die aktuelle Lage rund um das Produkt ist.
So schützt du deine Systeme jetzt
Zunächst gilt: Spiele den aktuellen Patch aus dem Bulletin APSB26-68 sofort ein. Danach solltest du prüfen, ob RDS überhaupt aktiv sein muss. In produktiven Umgebungen ist der Dienst meist überflüssig und sollte deaktiviert werden.
Zusätzlich empfiehlt sich eine Kontrolle der Logs auf verdächtige Zugriffe auf den FILEIO-Handler. Untersuche außerdem den Web-Root auf unbekannte CFML-Dateien. Solche Dateien sind ein deutliches Zeichen für eine erfolgreiche Kompromittierung.
Eine funktionierende Backup-Strategie ist bei einer RCE-Lücke deine letzte Verteidigungslinie. Denn nach einer Kompromittierung folgt oft Ransomware. Wie du deine Daten sauber offline sicherst, zeige ich im Ratgeber zu verschlüsselten USB-Sticks und externen SSDs. Wer solche Server-Lücken generell im Blick behalten will, findet weitere Analysen etwa zur SharePoint-Sicherheitslücke CVE-2026-45659.
Fazit
Die ColdFusion Sicherheitslücke CVE-2026-48282 zeigt erneut, wie schnell aus einer Veröffentlichung ein aktiver Angriff wird. Patchen, RDS abschalten und Logs prüfen sind jetzt Pflicht. Wer zögert, riskiert eine vollständige Übernahme seiner Server.
Quellen
- NVD: CVE-2026-48282 Detail
- Help Net Security: Attackers exploit critical Adobe ColdFusion vulnerability
- The Hacker News: Adobe Patches 7 CVSS 10.0 Flaws
- Security Affairs: ColdFusion flaw now exploited in the wild
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden