CISA nimmt ausgenutzte Schwachstellen in ColdFusion, Langflow und Joomla in die KEV-Liste auf

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat Organisationen vor der aktiven Ausnutzung kritischer Schwachstellen in Adobe ColdFusion, Langflow und zwei Joomla-Erweiterungen gewarnt und zu einer schnellen Behebung und Aktualisierung aufgefordert.

Schwachstellen in ColdFusion und Langflow werden angegriffen

Zu den neu hervorgehobenen Problemen gehört CVE-2026-48282, eine Adobe-ColdFusion-Schwachstelle mit maximalem Schweregrad, die einen Pfad-Traversal-Angriff ermöglicht und Angreifern dadurch die Ausführung beliebigen Codes erlauben kann. Adobe veröffentlichte am 30. Juni entsprechende Sicherheitsupdates. Kurz darauf nahm die CISA die Schwachstelle in ihren Katalog der bekannten, aktiv ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) auf, nachdem Hinweise aufgetaucht waren, dass Angreifer sie bereits bei Angriffen in der Praxis einsetzten.

Die CISA wies außerdem auf CVE-2026-55255 in Langflow hin, einer Low-Code-Anwendungsplattform. Bei der Schwachstelle handelt es sich um eine unsichere direkte Objektreferenz (Insecure Direct Object Reference) zwischen Mandanten. Sie kann es einem Benutzer ermöglichen, auf die Flows eines anderen Benutzers zuzugreifen oder diese auszulösen, indem er eine Flow-UUID übermittelt. Langflow behob das Problem in Version 1.9.1. Sicherheitsforscher hatten zuvor berichtet, dass Angreifer die Schwachstelle bereits ausnutzten und sie in einigen Fällen mit einer älteren Schwachstelle zur Remotecodeausführung verketteten, um sich weitergehenden Zugriff zu verschaffen.

Auch Schwachstellen in Joomla-Erweiterungen werden ausgenutzt

Die Behörde warnte außerdem vor zwei Joomla-bezogenen Schwachstellen, die beliebte Erweiterungen betreffen. Eine davon ist CVE-2026-48908 in SP Page Builder von JoomShaper. Dabei handelt es sich um ein Problem bei der Zugriffskontrolle, das eine nicht authentifizierte Remotecodeausführung über die Funktion zum Hochladen benutzerdefinierter Symbole ermöglichen kann. Das Problem wurde in SP Page Builder 6.6.2 behoben.

Bei der zweiten Schwachstelle handelt es sich um CVE-2026-56290 in Page Builder CK von Joomlack, eine Schwachstelle zum nicht authentifizierten Hochladen beliebiger Dateien, die ebenfalls zur Remotecodeausführung auf dem Server führen kann. Das Problem wurde in Page Builder CK 3.6.0 behoben, das am 27. Juni veröffentlicht wurde. Berichten zufolge begannen Angreifer schnell damit, die Schwachstelle zur Bereitstellung von Webshells auszunutzen.

Fristen für die Behebung durch Bundesbehörden

Gemäß den Richtlinien der CISA und der Binding Operational Directive 26-04 müssen zivile US-Bundesbehörden alle vier Schwachstellen bis zum 10. Juli beheben. Die CISA erklärte, dass andere Organisationen den KEV-Katalog regelmäßig prüfen und alle darin aufgeführten Schwachstellen priorisieren sollten, die ihre Systeme betreffen, insbesondere wenn bereits Angriffe stattfinden.

Die Warnung erfolgt vor dem Hintergrund einer Reihe aktueller Hinweise zu aktiv ausgenutzten Software-Schwachstellen. Dies unterstreicht, wie wichtig es für Organisationen ist, Updates schnell einzuspielen und zu überprüfen, ob öffentlich erreichbare Webanwendungen geschützt sind.