In der Webentwicklungsplattform Adobe ColdFusion steckt eine Sicherheitslücke mit dem maximalen CVSS-Wert von 10. Adobe hat den Patch am 30. Juni 2026 bereitgestellt und dabei erklärt, es lägen keine Hinweise auf Angriffe vor. Zwei Tage später wurde die Lücke ausgenutzt, nur rund zwei Stunden nachdem technische Details öffentlich wurden.

Was ist passiert?

Adobe hat am 30. Juni 2026 das Sicherheitsbulletin APSB26-68 veröffentlicht und damit elf Schwachstellen in ColdFusion behoben, sieben davon mit dem Höchstwert 10,0 im CVSS. Zum Zeitpunkt der Veröffentlichung sah Adobe die Updates als vorbeugend an und stufte sie mit Prioritätsstufe 1 ein, also der Kategorie mit dem höchsten Risiko einer baldigen Ausnutzung.

Diese Einschätzung wurde schnell überholt. Am 2. Juli veröffentlichten Sicherheitsforscher von watchTowr eine technische Analyse der gepatchten Fehler. Das Honeypot-Netzwerk der Threat-Intelligence-Plattform KEVIntel registrierte die ersten Angriffe innerhalb von rund zwei Stunden nach dieser Veröffentlichung. KEVIntel-Gründer Ryan Dewhurst bestätigte eine Ausnutzung in freier Wildbahn. Die betroffene Lücke trägt die Kennung CVE-2026-48282.

Der Fall zeigt ein Muster, das sich verschärft: Zwischen der Veröffentlichung technischer Details und dem ersten Angriff liegen nicht mehr Tage oder Wochen, sondern Stunden. Das ist deutlich weniger Zeit, als viele Organisationen brauchen, um einen Patch zu testen, zu priorisieren und in Produktivsystemen auszurollen.

Die Schwachstelle im Detail

CVE-2026-48282 ist ein Path-Traversal-Fehler im RDS-FILEIO-Handler von ColdFusion. RDS steht für Remote Development Services, eine ältere Funktion, über die eine Entwicklungsumgebung per HTTP mit einem laufenden ColdFusion-Server kommunizieren kann.

Path Traversal bedeutet, dass ein Angreifer über manipulierte Pfadangaben aus dem eigentlich vorgesehenen Verzeichnis ausbricht. Beim betroffenen Endpunkt /CFIDE/main/ide.cfm?ACTION=FILEIO prüft der Handler die übergebenen Dateipfade nicht ausreichend. Dadurch lässt sich mit einer einzigen präparierten HTTP-Anfrage eine Datei an einen beliebigen Ort schreiben, auch in ein Verzeichnis, aus dem der Webserver Code ausführt.

In der Praxis läuft der Angriff so ab: Der Angreifer schreibt eine kleine ColdFusion-Datei mit der Endung .cfm in das Web-Wurzelverzeichnis, eine sogenannte Webshell. Anschließend ruft er diese Datei direkt im Browser auf und führt darüber Befehle auf dem Server aus. Der Code läuft im Kontext des ColdFusion-Dienstkontos, das auf vielen Windows-Systemen mit hohen Rechten (bis hin zu NT AUTHORITY\SYSTEM) betrieben wird. Damit ist der Weg frei für Datendiebstahl, das Auslesen von Zugangsdaten aus der ColdFusion-Konfiguration und die weitere Ausbreitung im Netzwerk.

Wichtig für die Risikoeinschätzung: Weder Authentifizierung noch Benutzerinteraktion sind nötig. Ist der verwundbare Dienst erreichbar, genügt eine Anfrage.

Wer ist betroffen?

Betroffen sind die folgenden Versionen:

• Adobe ColdFusion 2025, Update 9 und älter
• Adobe ColdFusion 2023, Update 20 und älter

Es gibt allerdings eine entscheidende Einschränkung, die den Kreis der tatsächlich verwundbaren Server deutlich verkleinert. Der Angriff funktioniert nur, wenn RDS aktiviert und gleichzeitig die RDS-Authentifizierung deaktiviert ist. Beides ist nicht die Standardeinstellung. In der Praxis findet sich diese Kombination aber immer wieder auf älteren Installationen, auf denen RDS aus früheren Entwicklungsphasen versehentlich aktiviert blieb.

Die Shadowserver Foundation zählt rund 750 aus dem Internet erreichbare ColdFusion-Server. Wie viele davon eine verwundbare Version einsetzen und die riskante RDS-Konfiguration aufweisen, ist offen. Die Zahl der aus dem Netz erreichbaren Server überzeichnet die Zahl der wirklich angreifbaren Systeme also. ColdFusion findet sich überdurchschnittlich oft in Behörden, im Finanz- und Gesundheitswesen sowie in älteren Fachanwendungen, die im Lauf der Zeit unbemerkt ins Internet gerückt sind.

Einordnung: Wenn das Hersteller-Advisory hinterherhinkt

Ein bemerkenswerter Punkt in diesem Fall betrifft die Informationslage. Mehrere Behörden und Forschungsteams haben die aktive Ausnutzung bestätigt: Das Canadian Centre for Cyber Security gab die Warnung AV26-647 heraus, das belgische Centre for Cybersecurity warnte ebenfalls, und Resecurity verfolgt die Angriffe. Die US-Behörde CISA nahm CVE-2026-48282 am 8. Juli 2026 in ihren Katalog aktiv ausgenutzter Schwachstellen auf und setzte US-Bundesbehörden eine Frist bis zum 10. Juli.

Das Hersteller-Advisory von Adobe hat diesen Stand zeitweise nicht widergespiegelt und die Updates weiter als vorbeugend beschrieben, obwohl unabhängige Quellen längst Angriffe meldeten. Wer sich allein auf die Statusangabe des Herstellers verlässt, arbeitet unter Umständen mit veralteten Informationen. Unabhängige Tracker wie KEVIntel und die nationalen CERTs sind genau deshalb wertvoll.