Adobe veröffentlicht Sicherheitsupdates für kritische Schwachstellen in ColdFusion und Campaign Classic

Adobe hat Sicherheitsupdates für eine Reihe von Hochrisiko-Schwachstellen in ColdFusion und Campaign Classic veröffentlicht, darunter mehrere mit CVSS 10,0 bewertete Probleme, die die Ausführung beliebigen Codes auf verwundbaren Systemen ermöglichen könnten.

ColdFusion-Updates beheben mehrere schwerwiegende Fehler

Die ColdFusion-Patches beheben Probleme, die laut Adobe zur Ausführung beliebigen Codes, zur Rechteausweitung, zur Umgehung von Sicherheitsfunktionen und zum unbefugten Zugriff auf das Dateisystem führen könnten. Das Unternehmen hat die Schwachstellen in ColdFusion 2023 Update 21 und ColdFusion 2025 Update 10 behoben.

• CVE-2026-48276 und CVE-2026-48283: gefährliche Schwachstellen beim Datei-Upload
• CVE-2026-48277, CVE-2026-48281 und CVE-2026-48316: Schwachstellen bei der Eingabevalidierung im Zusammenhang mit der Codeausführung
• CVE-2026-48282: eine Path-Traversal-Schwachstelle, die die Codeausführung ermöglichen könnte
• CVE-2026-48313: eine Path-Traversal-Schwachstelle, durch die Dateien offengelegt werden könnten
• CVE-2026-48315: ein Fehler bei der Eingabevalidierung, der eine Rechteausweitung ermöglichen könnte

Adobe dankte externen Forschern, darunter Anirudh Anand, Matan Sandori und 2Bsecure, für die Meldung einiger dieser Schwachstellen.

Auch Campaign Classic erhält dringend benötigtes Update

In einem separaten Sicherheitshinweis hat Adobe eine kritische Schwachstelle bei der Autorisierung in Adobe Campaign Classic behoben, die als CVE-2026-48286 geführt wird. Die Schwachstelle betrifft ACC v7 7.4.3 Build 9396 und frühere Versionen unter Windows und Linux und könnte die Ausführung beliebigen Codes ermöglichen. Adobe zufolge ist die Korrektur in ACC v7 7.4.3 Build 9397 enthalten.

Das Unternehmen erklärte, dass der Fehler in Campaign Classic nur lokale Bereitstellungen betrifft, einschließlich hybrider Umgebungen mit lokalen Komponenten. Kunden, deren Systeme von Adobe gehostet werden, müssen nicht tätig werden, da diese Systeme bereits aktualisiert wurden.

Aktive Ausnutzung einer ColdFusion-Schwachstelle gemeldet

Adobe erklärte, zum Zeitpunkt der Veröffentlichung keine öffentliche Ausnutzung der Schwachstellen beobachtet zu haben. Spätere Berichte deuteten jedoch darauf hin, dass CVE-2026-48282 innerhalb weniger Stunden nach der Veröffentlichung des Patches angegriffen wurde. Dabei wurde ein Angriffsversuch von einer IP-Adresse beobachtet, die geografisch Indien zugeordnet wurde.

Sicherheitsanalysten stellten außerdem fest, dass die verwundbare Upload-Funktion von ColdFusion standardmäßig deaktiviert ist. Systeme, auf denen sie aktiviert ist, könnten jedoch weiterhin ohne Authentifizierung angreifbar sein.

Adobe ändert seinen Patch-Rhythmus

Die Veröffentlichungen erfolgen, während Adobe plant, ab dem 14. Juli 2026 von monatlichen auf zweimal monatlich erscheinende Sicherheitsbulletins umzusteigen. Das Unternehmen erklärt, dass eine schnellere Erkennung von Schwachstellen mithilfe von KI-Tools die Zeit verkürzt, die Angreifern nach der Veröffentlichung von Fehlern zum Handeln bleibt.

Adobes Sicherheitschefin Aanchal Gupta sagte, das Unternehmen nutze denselben KI-gestützten Ansatz, um Schwachstellen schneller zu identifizieren und zu beheben, bevor Angreifer sie ausnutzen können.