Kritische Sicherheitslücke in ColdFusion: Arbitrary Code Execution möglich
Eine kritische Sicherheitslücke (CVE-2026-47929) wurde in ColdFusion-Versionen 2023.19, 2025.8 und älter entdeckt. Diese Schwachstelle basiert auf einer fehlerhaften Autorisierung, die es einem Angreifer ermöglicht, beliebigen Code auszuführen.
Was ist passiert?
Eine kritische Sicherheitslücke (CVE-2026-47929) wurde in ColdFusion-Versionen 2023.19, 2025.8 und älter entdeckt. Diese Schwachstelle basiert auf einer fehlerhaften Autorisierung, die es einem Angreifer ermöglicht, beliebigen Code auszuführen. Ein Angreifer mit hohen Privilegien könnte dadurch erhöhten Zugriff oder Kontrolle über Benutzerkonten erlangen. Für die Ausnutzung ist keine Benutzerinteraktion erforderlich.
Wer ist betroffen?
Betroffen sind alle Unternehmen, die ColdFusion in den Versionen 2023.19, 2025.8 oder älter einsetzen. Da die Schwachstelle die Ausführung von beliebigem Code ermöglicht, sind die Systeme, auf denen ColdFusion läuft, direkt gefährdet. Ein hochprivilegierter Angreifer könnte die Kontrolle über betroffene Systeme übernehmen.
Wie kritisch ist es?
Die Schwachstelle wird mit einem CVSS-Score von 8.4 als "HIGH" eingestuft, was auf ein hohes Risiko hinweist. Die Wahrscheinlichkeit einer Ausnutzung (EPSS) innerhalb der nächsten 30 Tage liegt bei 8 %, was als moderat einzuschätzen ist. Derzeit ist die Schwachstelle laut CISA KEV (Known Exploited Vulnerabilities Catalog) nicht aktiv ausgenutzt.
Was ist jetzt zu tun?
Unternehmen, die betroffene ColdFusion-Versionen nutzen, sollten umgehend prüfen, ob Updates oder Patches verfügbar sind. Es wird dringend empfohlen, diese zeitnah einzuspielen, um das Risiko einer Ausnutzung zu minimieren. Falls keine Updates verfügbar sind, dazu liegen derzeit keine gesicherten Angaben vor, sollten temporäre Schutzmaßnahmen evaluiert werden.
Quellen: NVD (CVE-2026-47929), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.