Adobe-ColdFusion-Schwachstelle, die im Juni behoben wurde, wird nun aktiv ausgenutzt

Angreifer nutzen aktiv eine kritische Adobe-ColdFusion-Schwachstelle aus, die Ende Juni behoben wurde. Darauf weisen Bedrohungsforscher und Warnungen der kanadischen Regierung hin. Die als CVE-2026-48282 geführte Schwachstelle hat einen CVSS-Score von 10,0 und wird als Path-Traversal-Schwachstelle beschrieben, die zur Ausführung beliebigen Codes verwendet werden könnte.

Patch zusammen mit weiteren kritischen Schwachstellen veröffentlicht

Adobe behob CVE-2026-48282 am 30. Juni in ColdFusion 2025 Update 10 und ColdFusion 2023 Update 21. Die Behebung war Teil eines umfassenderen Sicherheitsupdates, das außerdem fünf weitere kritische Schwachstellen in der Rapid-Application-Development-Plattform des Unternehmens schloss. Zu diesem Zeitpunkt erklärte Adobe, keine Kenntnis von einer aktiven Ausnutzung zu haben. Dennoch stufte das Unternehmen das Update als Priorität 1 ein und forderte Kunden auf, es schnellstmöglich einzuspielen.

Diese Dringlichkeit scheint gerechtfertigt gewesen zu sein. Laut KEVIntel begann die Ausnutzung von CVE-2026-48282 innerhalb von zwei Stunden, nachdem die Schwachstelle öffentlich bekannt geworden war. Ryan Dewhurst, Gründer von KEVIntel, erklärte, dass die Organisation über ihr globales Honeypot-Netzwerk Aktivitäten realer Angriffe beobachtet habe. Das Canadian Centre for Cyber Security veröffentlichte später eine eigene Warnung und verwies auf Open-Source-Berichte, denen zufolge die Schwachstelle bei Angriffen eingesetzt wurde.

Kürzeres Reaktionsfenster für Verteidiger

Adobe hatte seine Sicherheitsmeldung zum Zeitpunkt der jüngsten Berichte noch nicht aktualisiert, um die bestätigte Ausnutzung zu berücksichtigen. SecurityWeek erklärte, das Unternehmen um eine Stellungnahme gebeten zu haben.

Sicherheitsverantwortliche erklären, dass die schnelle Ausnutzung zeigt, wie wenig Zeit Unternehmen inzwischen haben, Patches zu testen und bereitzustellen, bevor Angreifer aktiv werden. Piyush Sharma, Mitgründer und CEO von Tuskira, wies darauf hin, dass viele Teams zunächst feststellen müssen, ob exponierte Systeme erreichbar sind, anschließend bewerten müssen, ob die Schwachstelle einen praktikablen Angriffsweg eröffnet, und schließlich entscheiden müssen, ob während der Behebung vorübergehende Schutzmaßnahmen erforderlich sind.

• CVE-2026-48282: kritische Path-Traversal-Schwachstelle in Adobe ColdFusion
• CVSS-Score: 10,0
• Behoben: 30. Juni 2026
• Gemeldete Ausnutzung: innerhalb weniger Stunden nach der öffentlichen Bekanntgabe
• Warnende Behörde: Canadian Centre for Cyber Security

Die Berichte verstärken die wachsende Sorge, dass Schwachstellen mit hohem Schweregrad nahezu unmittelbar nach ihrer Veröffentlichung für Angriffe missbraucht werden und Sicherheitsteams dadurch immer weniger Zeit für eine Reaktion haben.