CVE-2026-48282
Adobe ColdFusion Path Traversal Vulnerability
Beschreibung
CVE-2026-48282 ist eine Path-Traversal-Schwachstelle mit höchstem Schweregrad in Adobe ColdFusion, die ohne jede Benutzerinteraktion zu beliebiger Codeausführung führen kann. Die Schwachstelle beruht auf einer unsachgemäßen Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis, sodass ein Angreifer Dateipfadreferenzen manipulieren, aus dem vorgesehenen Verzeichnis ausbrechen und letztlich Code im Kontext des aktuellen Benutzers ausführen kann. Betroffen sind ColdFusion 2025.9, 2023.20 und früher, und die Schwachstelle trägt den höchstmöglichen CVSS-Wert von 10.0 (kritisch) bei geändertem Scope. Die CISA hat CVE-2026-48282 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, und der EPSS-Wert liegt im 98. Perzentil, sodass Organisationen mit betroffenen ColdFusion-Versionen diese Path-Traversal-Schwachstelle als Notfall behandeln und unverzüglich patchen sollten.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| adobe | coldfusion | 2023; 2025 |
Referenzen
- https://helpx.adobe.com/security/products/coldfusion/apsb26-68.html(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-48282(US Government Resource)
Schwachstellentyp
CWE-22: Unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis ('Path Traversal')
Diese Schwäche tritt auf, wenn ColdFusion externe Eingaben zur Konstruktion eines Dateipfads verwendet, dabei aber spezielle Elemente wie "../" nicht neutralisiert, sodass der Pfad zu einem Ort außerhalb des eingeschränkten übergeordneten Verzeichnisses aufgelöst wird. In ColdFusion ermöglicht dieser Path Traversal einem Angreifer, Dateien außerhalb des vorgesehenen Verzeichnisses zu erreichen und in diesem Fall beliebige Codeausführung im Kontext des aktuellen Benutzers zu erzwingen.
Mehr erfahren: CWE-22 — Unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis ('Path Traversal')
Auswirkungsanalyse
CVE-2026-48282 erreicht den maximalen CVSS-3.1-Wert von 10.0 (kritisch), weil keine Hürde für eine Ausnutzung besteht und die Auswirkung eine Sicherheitsgrenze überschreitet. Die Schwachstelle ist aus der Ferne über das Netzwerk und ohne physischen Zugriff ausnutzbar, sie ist ohne besondere Bedingungen leicht auszunutzen (Angriffskomplexität niedrig), sie erfordert keine Authentifizierung (keine Berechtigungen nötig) und keinerlei Benutzerinteraktion. Der Scope ist geändert, das heißt eine Ausnutzung kann Ressourcen über die verwundbare ColdFusion-Komponente hinaus betreffen, und die hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit bedeuten, dass ein Angreifer sensible Dateien lesen, Daten oder Code verändern und den Server über beliebige Codeausführung stören kann. Da die CISA diese Schwachstelle in ihrem KEV-Katalog führt und der EPSS-Wert im 98. Perzentil liegt, ist die aktive Ausnutzung bestätigt und wird höchstwahrscheinlich anhalten.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2026-48282 durch die Aufnahme in den Katalog bekannter ausgenutzter Schwachstellen bestätigt, es handelt sich also um eine akute Bedrohung, die sofortiges Handeln erfordert. Der EPSS-Wert von rund 28,6 % (98. Perzentil) deutet auf eine sehr hohe Wahrscheinlichkeit anhaltender Ausnutzungsaktivität hin — einer der höchsten beobachteten Bereiche — was mit der KEV-Listung übereinstimmt. Eine Ransomware-Nutzung ist derzeit als unbekannt eingestuft, und die primäre öffentliche Quelle ist das Hersteller-Advisory APSB26-68 von Adobe, das die betroffenen Versionen und Fixes dokumentiert. Angesichts der maximalen CVSS-Bewertung von 10.0, der bestätigten Ausnutzung und des EPSS-Werts im Spitzenperzentil müssen ColdFusion-Betreiber als Notfall patchen.
Behebung
- Befolgen Sie die von der CISA im KEV-Katalog geforderte Maßnahme: Wenden Sie Gegenmaßnahmen gemäß den Anweisungen von Adobe an, stellen Sie die Einhaltung der CISA-Patch-Vorgaben BOD 26-04 sicher und stellen Sie die Nutzung des Produkts ein, falls keine Gegenmaßnahmen verfügbar sind. Die Frist zur Behebung war der 2026-07-10.
- Wenden Sie die im Adobe-Sicherheitsbulletin APSB26-68 beschriebenen Fixes an und aktualisieren Sie ColdFusion über die betroffenen Releases 2025.9 und 2023.20 hinaus, da die Versionen 2025.9, 2023.20 und früher betroffen sind.
- Schränken Sie als Übergangsmaßnahme den Netzwerkzugriff auf den ColdFusion-Server ein, platzieren Sie ihn hinter einer WAF, die auf Path-Traversal-Sequenzen wie "../" prüft, und begrenzen Sie die Exposition administrativer Endpunkte gegenüber dem öffentlichen Internet.
- Prüfen Sie Server- und Anwendungs-Logs auf verdächtige Anfragen mit Traversal-Sequenzen oder Verweisen auf unerwartete Dateipfade und suchen Sie nach Anzeichen von Codeausführung oder unbekannten Dateien auf dem Host.
- Wenden Sie als langfristige Härtung eine strikte Eingabevalidierung mit einem Allowlist-Ansatz für erlaubte Dateinamen oder Pfadkomponenten an, nutzen Sie kanonische Pfadauflösung, um vor jeder Dateioperation zu verifizieren, dass der resultierende absolute Pfad innerhalb des vorgesehenen Verzeichnisses bleibt, und übergeben Sie benutzergesteuerte Eingaben nicht direkt an Dateisystemaufrufe.
Technische Details
Die Grundursache von CVE-2026-48282 ist CWE-22, eine unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis: ColdFusion konstruiert einen Dateipfad aus externen Eingaben, ohne Traversal-Elemente wie ".." ordnungsgemäß zu neutralisieren, sodass der Pfad außerhalb des vorgesehenen Verzeichnisses aufgelöst wird und zu beliebiger Codeausführung im Kontext des aktuellen Benutzers führt. Der Angriff erfolgt über das Netzwerk (AV:N) mit niedriger Komplexität (AC:L), erfordert keine Berechtigungen (PR:N) und keine Benutzerinteraktion (UI:N), und der geänderte Scope (S:C) spiegelt wider, dass die Auswirkung über die verwundbare Komponente hinausreicht — zusammen ergeben diese Faktoren den maximalen CVSS-3.1-Wert von 10.0 für den Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Die hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit ergeben sich aus der daraus resultierenden Fähigkeit zur Codeausführung.
Häufig gestellte Fragen
Wird CVE-2026-48282 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2026-48282 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen und damit die Ausnutzung in freier Wildbahn bestätigt, und der EPSS-Wert liegt im 98. Perzentil, was auf eine sehr hohe Wahrscheinlichkeit anhaltender Ausnutzung hindeutet. Eine Ransomware-Verbindung ist derzeit als unbekannt eingestuft.
Welche Produkte sind von CVE-2026-48282 betroffen?
Die Schwachstelle betrifft Adobe ColdFusion in den Versionen 2025.9, 2023.20 und früher. Organisationen, die diese ColdFusion-Releases einsetzen, sollten die Adobe-Updates aus dem Bulletin APSB26-68 umgehend anwenden.
Wie behebe ich CVE-2026-48282?
Wenden Sie die Fixes aus dem Adobe-Sicherheitsbulletin APSB26-68 an und aktualisieren Sie über die betroffenen Releases 2025.9 und 2023.20 hinaus, im Einklang mit den KEV-Vorgaben der CISA. Schränken Sie in der Zwischenzeit den Netzwerkzugriff auf den ColdFusion-Server ein, setzen Sie eine WAF ein, die Path-Traversal-Sequenzen erkennt, und prüfen Sie Logs auf Traversal-basierte Anfragen.
Wie schwerwiegend ist CVE-2026-48282?
Sie ist kritisch und trägt den höchstmöglichen CVSS-3.1-Wert von 10.0, bedingt durch die nicht authentifizierte Netzwerk-Ausnutzbarkeit, den geänderten Scope und die hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Mit bestätigter aktiver Ausnutzung im KEV-Katalog der CISA und einem EPSS-Wert im 98. Perzentil gehört sie zu den schwerwiegendsten und dringlichsten Schwachstellen, denen eine Organisation begegnen kann.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.