KritischCVE-2026-48282

    Adobe ColdFusion 2025: Pfadüberschreitung (Path Traversal) (CVE-2026-48282)

    Veröffentlicht Zuletzt geändert In CISA KEV seit Quellen: CVE.org, pwn.watch, Adobe, BSI

    Teilen

    Was ist betroffen, was ist zu tun

    Die Schwachstelle CVE-2026-48282 ist eine Pufferüberlauf-Schwachstelle, die zu einer Remote-Code-Ausführung (RCE) führen kann. Ein Angreifer kann ohne Authentifizierung im Kontext des aktuellen Benutzers beliebigen Code ausführen. Diese Schwachstelle wird aktiv in der Wildnis ausgenutzt, wie durch ihre Aufnahme in die CISA KEV-Liste bestätigt. Betroffen sind alle Versionen von Adobe ColdFusion vor 2023.21. Ein sofortiges Update auf die Version 2023.21 ist dringend empfohlen, um die Sicherheitslücke zu schließen.

    Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. Die vorliegenden Quellen nennen keine Fix-Version. Prüfen Sie die Herstellerhinweise in den Referenzen unten. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

    Betroffen
    • Adobe ColdFusion 2025 lte *..9
    • Adobe ColdFusion 2023 lte *..20

    Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

    Metriken

    10,0

    Priorität

    XIEM Effective CVSS: höchste verfügbare CVSS-Bewertung aus NVD- und Herstellerangaben.

    Quelle: NVD, CVSS v3

    10,0

    CVSS v3

    Schweregrad Kritisch auf der Skala von 0 bis 10.

    Quelle: CVE.org, pwn.watch, Adobe, BSI

    42,4 %

    EPSS-Score

    Erhöht – Modell schätzt 10-50 % Ausnutzungs-Wahrscheinlichkeit.

    Quelle: FIRST EPSS, Perzentil 98,7

    Alle Metriken anzeigen
    Schweregrad
    Kritisch
    Priorität (0–325)

    Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst?

    Im Glossar lesen
    247.49 Methodik
    Exploit-Reife

    Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht.

    Im Glossar lesen
    aktiv ausgenutztQuelle: VulnCheck KEV (öffnet in neuem Tab) So stufen wir ein
    XIEM Effective CVSS

    XIEM® ist das gestufte Managed-Security-Betriebsmodell von NEOSEC und eine eingetragene Marke der NEOSEC GmbH. Es erweitert klassisches SIEM — die zentrale Sammlung, Normalisierung und Korrelation sicherheitsrelevanter Ereignisse — um Endpunkt-Forensik, Netzwerk-Sichtbarkeit und Täuschungstechnik und führt diese zu drei aufeinander aufbauenden Stufen zusammen: Sentry, Orchestrate und Command.

    Im Glossar lesen
    10,0 Methodik
    CVSS v3

    CVSS ist der weltweit verbreitete, offene Standard zur Bewertung der technischen Schwere einer Schwachstelle auf einer Skala von 0 bis 10. Er beschreibt, wie leicht eine Lücke ausnutzbar ist und welchen Schaden sie anrichten kann — nicht jedoch, wie wahrscheinlich ihre tatsächliche Ausnutzung ist. CVSS und das ergänzende EPSS beantworten bewusst unterschiedliche Fragen.

    Im Glossar lesen
    10,0
    EPSS-Score

    Der EPSS-Score ist der absolute Modell-Output für eine einzelne Schwachstelle: die geschätzte Wahrscheinlichkeit einer realen Ausnutzung in den nächsten 30 Tagen, ausgedrückt als Wert zwischen 0 und 1 (bzw. 0 % bis 100 %). Ein Score von 0,42 bedeutet „das Modell schätzt eine 42-prozentige Chance auf reale Ausnutzung binnen 30 Tagen“.

    Im Glossar lesen
    42,4 %
    Erhöht – Modell schätzt 10-50 % Ausnutzungs-Wahrscheinlichkeit.
    EPSS-Perzentil

    Das EPSS-Perzentil ist die relative Einordnung einer Schwachstelle innerhalb aller EPSS-bewerteten CVEs, ausgedrückt als Wert zwischen 0 und 1. Ein Perzentil von 0,90 bedeutet „diese CVE hat einen höheren EPSS-Score als 90 % aller anderen bewerteten CVEs“. Anders als der EPSS-Score ist es keine Wahrscheinlichkeit — sondern eine Positionierung im Ranking.

    Im Glossar lesen
    98,7
    Kritisch – CVE liegt im obersten Fünftel aller heute bewerteten CVEs (Rang ≥ 80 %).
    KEV-Status

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    Aktiv ausgenutzt
    Veröffentlicht
    In CISA KEV seit

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    CISA-Bewertung (SSVC)
    Ausnutzung: aktiv · automatisierbar · Auswirkung: vollständig
    Quelle: CISA Vulnrichment, Stand 8. Juli 2026
    CWE

    CWE ist ein Katalog typischer Schwächen-Arten in Software und Hardware — etwa fehlerhafte Eingabevalidierung, unsichere Speicherbehandlung oder mangelhafte Authentisierung. Während eine CVE eine konkrete Schwachstelle in einem konkreten Produkt benennt, beschreibt eine CWE die zugrunde liegende Fehlerklasse.

    Im Glossar lesen
    CWE-22

    Behebung und Mitigation

    Warum sofort handeln?

    Priorisierung

    Die Schwachstelle ist ohne Authentifizierung und ohne Benutzerinteraktion über das Netz ausnutzbar und erreicht wegen des geänderten Scopes die höchste Schweregradstufe. Die Ausnutzungswahrscheinlichkeit ist sehr hoch: Der CVE gehört zu den am wahrscheinlichsten ausgenutzten Schwachstellen überhaupt. ColdFusion ist seit Jahren ein bevorzugtes Ziel für Webshell-Platzierung und Erstzugriff, typischerweise bei Behörden, Bildungseinrichtungen und mittelständischen Unternehmen mit gewachsenen Legacy-Webanwendungen. Eine Ransomware-Nutzung ist laut CISA nicht bekannt, was die Dringlichkeit aber nicht mindert. Internetexponierte Instanzen sind als kritisch einzustufen und innerhalb von 24 h zu patchen oder abzuschotten; rein interne Instanzen sind im nächsten Notfall-Wartungsfenster zu behandeln.

    1. Schritt 1 im Runbook

      Sofort-Response (0-24 h)

      • Bestand erfassen: Alle ColdFusion-2023- und -2025-Instanzen inventarisieren, inklusive Testsystemen, vergessener Altinstallationen und Instanzen hinter Reverse-Proxys. Den Update-Stand im ColdFusion Administrator oder unter cfusion/hf-updates prüfen. Betroffen sind ColdFusion 2025 Update 9 und ColdFusion 2023 Update 20 sowie alle früheren Stände.

      • Sicherheitsupdate einspielen: Das Update, das 2025 Update 9 bzw. 2023 Update 20 ablöst, installieren. Der Patch ist beim Hersteller verfügbar — Versionsnummer und APSB-Bulletin bitte im Adobe-Vendor-Advisory nachschlagen. Internetexponierte Systeme zuerst patchen und den ColdFusion-Dienst anschließend neu starten.

      • Exposition sofort reduzieren: Kann nicht innerhalb von Stunden gepatcht werden, den direkten Internetzugriff auf diese Pfade und Ports am Perimeter sperren:

        • /CFIDE/, /cf_scripts/, /CFIDE/administrator/, /CFIDE/adminapi/
        • den internen Webserver-Port 8500

        Alternativ das System hinter VPN oder eine Allowlist stellen.

      • Kompromittierungsprüfung vor dem Patchen: Webroot (cfusion/wwwroot, CFIDE, cf_scripts) und Anwendungsverzeichnisse nach neuen oder geänderten .cfm-, .cfc- und .jsp-Dateien seit Anfang 2026 durchsuchen. Ein Patch entfernt bereits platzierte Webshells nicht.

      • Zugangsdaten rotieren bei Verdacht: Bei Hinweisen auf Kompromittierung folgende Geheimnisse rotieren:

        • Admin-Passwort, RDS-Passwort
        • Datenquellen-Credentials (neo-datasource.xml) und die Schlüssel aus seed.properties
        • das Dienstkonto, unter dem ColdFusion läuft

      • Meldepflicht prüfen: Bei Kompromittierung einer KRITIS- oder NIS2-relevanten Anwendung die Frühwarnung an das BSI innerhalb von 24 h vorbereiten.

    2. Schritt 2 im Runbook

      Mitigation-Layer

      • Netzsegmentierung:
        • ColdFusion-Server in eine dedizierte DMZ-Zone legen.
        • Ausgehende Verbindungen nur zu benötigten Zielen erlauben (Datenbank, Update-Server) und alles andere verweigern. Das unterbindet Nachladen von Payloads und Reverse Shells.
        • Administrator-Oberfläche nur aus dem Admin-VLAN erreichbar machen.
      • WAF/IPS:
        • Anfragen an ColdFusion-Pfade mit Traversal-Sequenzen blockieren: ../, ..\, %2e%2e, ..%2f, %252e%252e, ..;/, %c0%ae in URI, Query und Body.
        • Uploads mit Endungen .cfm, .cfml, .cfc und .jsp verwerfen.
        • Herstellerspezifische IPS-Signaturen für den CVE aktivieren, sobald der jeweilige Anbieter sie ausrollt.
      • Konfigurationshärtung:
        • Den Adobe ColdFusion Lockdown Guide bzw. das Lockdown-Tool anwenden.
        • Ungenutzte Dienste deaktivieren: RDS, /CFIDE/ im Produktiv-Webserver, cf_scripts-Mapping, Remote-Debugging.
        • Den internen Webserver (8500) abschalten und ausschließlich über IIS oder Apache mit Connector ausliefern.
      • Dateisystem und Ausführung:
        • Webroot für das Dienstkonto schreibgeschützt setzen.
        • Upload-Verzeichnisse außerhalb des Webroots platzieren und dort keine Skriptausführung zulassen.
        • Dateiintegritätsüberwachung (FIM) auf Webroot und cfusion/lib aktivieren.
      • Least Privilege: ColdFusion unter einem dedizierten, nicht-administrativen Dienstkonto betreiben, nicht als LocalSystem oder root. Da Code im Kontext des Dienstbenutzers ausgeführt wird, begrenzt dies direkt die Auswirkungen eines erfolgreichen Angriffs.

    3. Schritt 3 im Runbook

      Detection-Regeln

      • Webserver-Logs (IIS/Apache/ColdFusion): Traversal-Muster auf ColdFusion-Pfaden suchen.
        • Splunk: index=web uri_path IN ("/CFIDE/*","/cf_scripts/*","*.cfm","*.cfc") | regex _raw="(\.\./|\.\.\\\\|%2e%2e|%252e|\.\.;)"
        • Besonders verdächtig sind Treffer mit HTTP 200 und Zugriffe auf password.properties, neo-security.xml oder seed.properties.
      • Prozessabstammung (Sysmon EID 1 / Security 4688): ParentImage endet auf coldfusion.exe oder java.exe/javaw.exe mit Pfad *\ColdFusion* und startet cmd.exe, powershell.exe, certutil.exe, whoami.exe oder rundll32.exe.
        • Sigma-Form: selection: ParentImage|contains: 'ColdFusion' and Image|endswith: ['\cmd.exe','\powershell.exe','\certutil.exe','\whoami.exe']
      • Dateierstellung (Sysmon EID 11 / auditd): Neue .cfm-, .cfc- oder .jsp-Dateien unter wwwroot oder CFIDE, die vom ColdFusion-Prozess geschrieben werden. Unter Linux:
        • auditd-Regel: -w /opt/ColdFusion*/cfusion/wwwroot -p wa -k cf_webroot
        • Treffer mit exe=*java* alarmieren.
      • Linux-EDR: Der Java-Prozess des ColdFusion-Dienstbenutzers startet /bin/sh, bash, curl, wget oder nc.
        • KQL: DeviceProcessEvents | where InitiatingProcessFolderPath has "ColdFusion" and FileName in~ ("sh","bash","curl","wget","nc","cmd.exe","powershell.exe")
      • Netzwerk (Zeek/Suricata): Ungewöhnliche ausgehende Verbindungen des ColdFusion-Servers zu externen IPs auf unüblichen Ports. Ebenso auffällig sind DNS-Anfragen zu neu registrierten Domains kurz nach verdächtigen HTTP-Anfragen.

    Erkennungsregeln

    Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

    Einordnung nach NIS2 und CRA

    Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

    NIS2

    NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

    Im Glossar lesen
    Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).
    CRA

    Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

    Im Glossar lesen
    Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.
    ISO/IEC 27001

    ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

    Im Glossar lesen
    Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

    Beschreibung

    ColdFusion-Versionen 2025.9, 2023.20 und früher sind von einer Schwachstelle betroffen, die als "Unzureichende Einschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis" ('Pfad Traversal') bezeichnet wird und zur willkürlichen Codeausführung im Kontext des aktuellen Benutzers führen könnte. Die Ausnutzung dieses Problems erfordert keine Benutzerinteraktion. Der Geltungsbereich wurde geändert.

    Quelle: NVD (NIST), pwn.watch, CISA KEV Catalog, adobe_bulletin, cvelistv5, BSI WID Portal, BSI CSAF

    Betroffene Produkte

    Betroffen sind die folgenden Versionen. Ältere Stände derselben Reihe sind ebenfalls verwundbar, sofern nicht anders angegeben.

    Betroffene Produkte
    Betroffene VersionenBehoben in
    AdobeColdFusion 2023
    • ≤ 20
    • —
    AdobeColdFusion 2025
    • ≤ 9
    • —
    adobecoldfusion
    • 2025
    • 2023
    • —
    • —
    AdobeColdFusion
    • ColdFusion 2023 <Update 21
    • ColdFusion 2025 <Update 10
    • —
    • —

    Hersteller und Produkte

    Weakness-Klassen (CWE)

    • CWE-22Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')

      Base

      The product uses external input to construct a pathname that is intended to identify a file or directory that is located underneath a restricted parent directory, but the product does not properly neutralize special elements within the pathname that can cause the pathname to resolve to a location that is outside of the restricted directory.

      Eintrag bei MITRE CWE-22

    Öffentliche Exploit-Referenzen

    Öffentlich gemeldete Proof-of-Concepts, Exploit-Module und Detection-Templates zu dieser Schwachstelle. NEOSEC verlinkt ausschließlich auf die Originalquellen und stellt keinen Exploit-Code bereit.

    Öffentliche Exploit-Referenzen
    CISA KEV CatalogCISA Known Exploited Vulnerability (öffnet in neuem Tab)cisa.govaktiv ausgenutzt
    PoC-in-GitHub (nomi-sec)cve-2026-48282-coldfusion-rds-detection (öffnet in neuem Tab)github.comPoC (öffentlich gemeldet)gemeldet, nicht verifiziert

    Quellen & Referenzen

    • helpx.adobe.comAdobe ColdFusion — CVE-2026-48282Herstellerhinweis, pwn-watch, Herstellerhinweis
    • cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2026-48282government-resource, US-Behörde
    • pwn.watchpwn.watch: Adobe ColdFusion: Adobe ColdFusion Path Traversal Vulnerabilitypwn-watch
    • NVD (NIST)NVD: CVE-2026-48282pwn-watch
    • cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch

    Änderungen an der CVE

    Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

    1. Eintrag geändertCISA ADP

      CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: ja

      2 Einzeländerungen im Original anzeigen
      Einzeländerungen dieses Ereignisses im Original der NVD
      ArtAktionVorherNachher
      SSVC-Einschätzungentfernt
      {"id":"CVE-2026-48282","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-06-30T00:00:00+00:00"}
      —
      SSVC-Einschätzungergänzt
      —
      {"id":"CVE-2026-48282","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-07-08T03:56:31.827098Z"}

      Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

    2. Eintrag geändertAdobe

      4 Einzeländerungen im Original anzeigen
      Einzeländerungen dieses Ereignisses im Original der NVD
      ArtAktionVorherNachher
      Betroffene Versionen (Herausgeber)ergänzt
      —
      Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/48xxx/CVE-2026-48282.json">CVE-2026-48282</a>
      Referenzergänzt
      —
      https://helpx.adobe.com/security/products/coldfusion/apsb26-68.html
      Referenzentfernt
      https://helpx.adobe.com/security/products/coldfusion/apsb26-68.html
      —
      Referenztypentfernt
      https://helpx.adobe.com/security/products/coldfusion/apsb26-68.html Types: Vendor Advisory
      —

      Kennung der Quelle: psirt@adobe.com

    3. Eintrag geändertCISA ADP

      3 Einzeländerungen im Original anzeigen
      Einzeländerungen dieses Ereignisses im Original der NVD
      ArtAktionVorherNachher
      Referenzergänzt
      —
      https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-48282
      Referenzentfernt
      https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-48282
      —
      Referenztypentfernt
      https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-48282 Types: US Government Resource
      —

      Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

    4. Eintrag geändertAdobe

      1 Einzeländerung: Betroffene Versionen (Herausgeber)

      Einzeländerung im Original anzeigen
      Einzeländerungen dieses Ereignisses im Original der NVD
      ArtAktionVorherNachher
      Betroffene Versionen (Herausgeber)geändert
      ColdFusion
      ColdFusion 2025, ColdFusion 2023

      Kennung der Quelle: psirt@adobe.com

    5. Eintrag geändertCISA ADP

      CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: ja

      Einzeländerung im Original anzeigen
      Einzeländerungen dieses Ereignisses im Original der NVD
      ArtAktionVorherNachher
      SSVC-Einschätzunggeändert
      {"id":"CVE-2026-48282","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-07-07T19:45:05.459097Z"}
      {"id":"CVE-2026-48282","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-06-30T00:00:00+00:00"}

      Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

    3 ältere Änderungen anzeigen

    1. CISA-KEV-Eintrag aktualisiert9119a7d8…

      4 Einzeländerungen: Date Added, Due Date, Required Action, Vulnerability Name

      4 Einzeländerungen im Original anzeigen
      Einzeländerungen dieses Ereignisses im Original der NVD
      ArtAktionVorherNachher
      Date Addedergänzt
      —
      2026-07-07
      Due Dateergänzt
      —
      2026-07-07
      Required Actionergänzt
      —
      2026-07-07
      Vulnerability Nameergänzt
      —
      2026-07-07

      Kennung der Quelle: 9119a7d8-5eab-497f-8521-727c672e3725

    2. Eintrag geändertCISA ADP

      CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: ja

      2 Einzeländerungen im Original anzeigen
      Einzeländerungen dieses Ereignisses im Original der NVD
      ArtAktionVorherNachher
      Referenzergänzt
      —
      https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-48282
      SSVC-Einschätzunggeändert
      {"id":"CVE-2026-48282","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-06-30T00:00:00+00:00"}
      {"id":"CVE-2026-48282","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-07-07T19:45:05.459097Z"}

      Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

    3. Erstanalyse durch die NVDNVD

      Neu als betroffen eingetragen:
      • Adobe ColdFusion (2023, 2023-update1, 2023-update10, 2023-update11, 2023-update12, 2023-update13 und 25 weitere Einzelversionen)
      2 Einzeländerungen im Original anzeigen
      Einzeländerungen dieses Ereignisses im Original der NVD
      ArtAktionVorherNachher
      Produktkonfigurationergänzt
      —
      OR *cpe:2.3:a:adobe:coldfusion:2023:update1:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2023:-:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2023:update2:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2023:update3:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2023:update4:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2023:update5:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2023:update7:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2023:update6:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2023:update8:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2023:update9:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2023:update11:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2023:update10:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2023:update12:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2025:-:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2023:update13:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2025:update1:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2023:update14:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2025:update2:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2023:update15:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2025:update3:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2023:update16:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2025:update4:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2025:update5:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2023:update18:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2025:update6:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2023:update17:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2023:update19:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2025:update7:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2025:update8:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2023:update20:*:*:*:*:*:* *cpe:2.3:a:adobe:coldfusion:2025:update9:*:*:*:*:*:*
      Referenztypergänzt
      —
      Adobe Systems Incorporated: https://helpx.adobe.com/security/products/coldfusion/apsb26-68.html Types: Vendor Advisory

      Kennung der Quelle: nvd@nist.gov

    Eine Übersetzung der NVD in eine andere Sprache ist ausgeblendet.

    Verknüpfte Advisories

    Badge einbetten

    Zeigen Sie Schweregrad und KEV-Status dieser Schwachstelle auf Ihrer Seite – mit Link hierher. Das Bild wird stündlich aktualisiert.

    Badge-Vorschau für CVE-2026-48282
    <a href="https://intel.neosec.eu/cve/CVE-2026-48282"><img src="https://intel.neosec.eu/badge/cve/CVE-2026-48282.svg" alt="CVE-2026-48282 – NEOSEC Intel" height="20"></a>