CISA fordert Bundesbehörden auf, kritische ColdFusion-Sicherheitslücke bis Freitag zu schließen

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat Bundesbehörden der zivilen Exekutive angewiesen, eine Adobe-ColdFusion-Sicherheitslücke mit höchstem Schweregrad bis Freitag zu schließen, nachdem die Schwachstelle in ihren Katalog der bekannten ausgenutzten Sicherheitslücken aufgenommen wurde.

Die als CVE-2026-48282 erfasste Schwachstelle betrifft Adobe ColdFusion 2025.9, 2023.20 und frühere Versionen. Laut Adobe kann der Fehler aus der Ferne, ohne Authentifizierung und mit geringem Angriffsaufwand ausgenutzt werden. Dadurch können Angreifer Code auf verwundbaren Systemen ausführen.

Adobe veröffentlichte vor etwa einer Woche Sicherheitsupdates für das Problem und forderte Administratoren auf, diese so schnell wie möglich zu installieren. Das Unternehmen erklärte, die Aktualisierung behebe Probleme, die bereits aktiv ausgenutzt würden oder bei denen ein zeitnaher Beginn von Angriffen als wahrscheinlich galt.

Forscher und staatliche Cybersicherheitsorganisationen meldeten kurz nach der Veröffentlichung Anzeichen für aktive Ausnutzung. Ryan Dewhurst, Gründer von KEVIntel, erklärte, Angreifer hätten offenbar innerhalb weniger Stunden nach der Ankündigung von Adobe mit der Ausnutzung der Schwachstelle begonnen. Auch das Canadian Centre for Cyber Security riet Verantwortlichen angesichts der laufenden Angriffe, betroffene Systeme schnell abzusichern.

Shadowserver, das Systeme überwacht, die im Internet erreichbar sind, zufolge sind derzeit knapp 800 ColdFusion-Instanzen online erreichbar. Unklar ist, wie viele dieser Systeme noch verwundbar sind, durch Maßnahmen zur Risikominderung geschützt werden oder als Köder betrieben werden.

Frist für Behörden zur Installation der Sicherheitsupdates

Die Anordnung der CISA gilt für Behörden der zivilen Exekutive des Bundes gemäß der Binding Operational Directive 26-04. Diese Richtlinie verpflichtet Behörden, die Installation von Sicherheitsupdates anhand von Faktoren zu priorisieren, etwa danach, ob eine Schwachstelle aktiv ausgenutzt wird, ob Angriffe automatisiert werden können, ob das verwundbare System dem Internet ausgesetzt ist und ob eine erfolgreiche Ausnutzung einem Angreifer die Kontrolle über das Ziel verschaffen könnte.

Adobe behob im selben Update-Zyklus außerdem sechs weitere kritische Schwachstellen in ColdFusion und Campaign Classic. Das Unternehmen hat nicht mitgeteilt, dass diese Probleme aktiv ausgenutzt werden.

ColdFusion ist für Angreifer weiterhin ein häufiges Ziel. Seit 2021 hat die CISA Dutzende mit Adobe verbundene Schwachstellen in ihre Liste der ausgenutzten Sicherheitslücken aufgenommen, darunter mehrere, die später mit Ransomware-Aktivitäten in Verbindung gebracht wurden.