CISA kennzeichnet vier aktiv ausgenutzte Schwachstellen in Adobe, Joomla und Langflow

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat vier Schwachstellen in ihren Katalog der bekannten ausgenutzten Sicherheitslücken (KEV) aufgenommen, nachdem sie festgestellt hatte, dass diese bei aktiven Angriffen eingesetzt werden. Zu den betroffenen Produkten gehören Adobe ColdFusion, zwei Joomla-bezogene Page-Builder-Erweiterungen und die KI-Workflow-Plattform Langflow.

Schwachstellen in den KEV-Katalog aufgenommen

• CVE-2026-48282 — eine kritische Pfad-Traversal-Schwachstelle in Adobe ColdFusion, die zur Codeausführung als aktuell angemeldeter Benutzer führen kann.
• CVE-2026-56290 — eine Schwachstelle durch unzureichende Zugriffskontrolle in Joomlack Page Builder, die über nicht authentifizierte Datei-Uploads eine Remotecodeausführung ermöglichen kann.
• CVE-2026-55255 — ein Problem durch die Umgehung der Autorisierung in Langflow, durch das ein authentifizierter Benutzer auf den Flow eines anderen Benutzers zugreifen kann, indem er dessen Flow-ID angibt.
• CVE-2026-48908 — eine Schwachstelle durch uneingeschränkte Datei-Uploads in JoomShaper SP Page Builder, die es Angreifern ermöglichen kann, schädliche Dateien einschließlich PHP-Code hochzuladen.

Forscher berichteten, dass die Ausnutzung der ColdFusion-Schwachstelle kurz nach der öffentlichen Bekanntgabe begann; entsprechende Aktivitäten wurden innerhalb weniger Stunden beobachtet. Im Joomla-Ökosystem haben Sicherheitsteams die Schwachstelle in SP Page Builder mit Zero-Day-Angriffen in Verbindung gebracht, bei denen eine PHP-Datei hochgeladen und in einigen Fällen ein neues Super-Admin-Konto erstellt wurde. Nutzern von SP Page Builder wird empfohlen, auf Version 6.6.2 oder höher zu aktualisieren.

Auch bei Page Builder CK wurden böswillige Versuche beobachtet. Sicherheitsverantwortliche stellten fest, dass Angreifer Webshells außerhalb der naheliegendsten Upload-Verzeichnisse platzieren könnten. Das Problem wurde in Page Builder CK Version 3.6.0 behoben. Unterdessen wurde Langflow in Kampagnen angegriffen, die die IDOR-Schwachstelle mit einer separaten Schwachstelle zur Remotecodeausführung kombinieren, um exponierte Systeme zu untersuchen, Flows aufzulisten und Zugangsdaten wie Schlüssel von LLM-Anbietern und AWS-Schlüssel zu stehlen.

Die Aufnahme in den KEV-Katalog der CISA bedeutet, dass zivile Bundesbehörden die entsprechenden Fehlerbehebungen bis zum 10. Juli 2026 einspielen müssen. Organisationen, die die betroffene Software einsetzen, sollten die Installation der Patches priorisieren, exponierte Webverzeichnisse auf verdächtige Dateien überprüfen und nach nicht autorisierten Konten oder ausgehenden Verbindungen suchen, die auf eine Kompromittierung hindeuten könnten.