Die kurze Antwort
Am 1. Juli 2026 veröffentlichte Adobe Notfall-Patches für sieben CVSS-10.0-Schwachstellen — sechs in ColdFusion (Bulletin APSB26-68) und eine in Campaign Classic (APSB26-69) —, von denen die meisten beliebige Codeausführung erlauben. Adobe sagt, es seien keine Exploits in freier Wildbahn bekannt, vergab aber seine höchste Einstufung Priorität 1 und wies Administratoren an, innerhalb von 72 Stunden zu aktualisieren. Patchen Sie sofort, wenn Sie ColdFusion betreiben; nehmen Sie es dann zum Anlass, den Ausstieg aus der Legacy-Laufzeit zu planen.
Die Schlagzeile ist nicht ein cleverer Exploit. Sie ist, dass eine breit eingesetzte, oft mit dem Internet verbundene Anwendungslaufzeit gerade ein ganzes Bündel von Schwachstellen höchster Kritikalität mit Codeausführung ausgeliefert hat — genau das Profil, das Angreifer nach der Veröffentlichung eines Patches im Wettlauf zu waffenfähigen Exploits machen.
Was Adobe tatsächlich behoben hat
Adobes Juli-Sicherheitsrelease drehte sich um zwei Produkte. Bulletin APSB26-68 behebt 11 Schwachstellen in ColdFusion 2025 und ColdFusion 2023, von denen sechs den maximalen CVSS-Basiswert von 10.0 tragen. Laut Adobe und unabhängiger Sicherheitsberichterstattung beruhen diese sechs — geführt als CVE-2026-48276, CVE-2026-48277, CVE-2026-48281, CVE-2026-48282, CVE-2026-48283 und CVE-2026-48316 — auf uneingeschränktem Upload gefährlicher Dateitypen, unzureichender Eingabevalidierung und Path Traversal und können zu beliebiger Codeausführung führen. Ein separates Bulletin, APSB26-69, behebt eine einzelne CVSS-10.0-Lücke wegen fehlerhafter Autorisierung in Adobe Campaign Classic (CVE-2026-48286), die ebenfalls Codeausführung erlauben könnte — sieben Schwachstellen höchster Kritikalität über die beiden Produkte.
Für ein Sicherheitsteam zählt die Form dieser Bugs mehr als ihre Zahl. Uneingeschränkter Datei-Upload und Path Traversal, die zu Codeausführung führen, sind das klassische Muster einer Kompromittierung vor der Authentifizierung: Ein Angreifer, der den Server bloß erreichen kann, braucht möglicherweise keinen gültigen Login, um Befehle auszuführen. Genau diese Art von Fehler macht aus einer Routine-Patchnotiz einen Vorfall. Wenn ColdFusion irgendwo nahe Ihrem Perimeter sitzt, gehört es in den Umfang eines Security-Audits, nicht bloß in eine monatliche Patch-Warteschlange.
Wer betroffen ist und wie man patcht
Die ColdFusion-Lücken betreffen ColdFusion 2025 Update 9 und alle früheren Versionen sowie ColdFusion 2023 Update 20 und alle früheren Versionen. Adobe behob sie in ColdFusion 2025 Update 10 und ColdFusion 2023 Update 21. Das Campaign-Classic-Problem betrifft On-Premises-Build 9396 und früher und ist in Build 9397 behoben; von Adobe gehostete Campaign-Instanzen waren bereits gepatcht. Adobe vergab den ColdFusion- und Campaign-Updates seine höchste Dringlichkeitsstufe und empfahl die Installation innerhalb von 72 Stunden.
| Produkt | Betroffen | Behoben in |
|---|---|---|
| ColdFusion 2025 | Update 9 und früher | Update 10 |
| ColdFusion 2023 | Update 20 und früher | Update 21 |
| Campaign Classic (On-Prem) | 7.4.3 Build 9396 und früher | 7.4.3 Build 9397 |
Die Laufzeit zu patchen ist Schritt eins. Adobe liefert außerdem einen ColdFusion-Lockdown-Leitfaden, und ihn anzuwenden — Dienstkonten mit minimalen Rechten, eingeschränkte Dateisystemberechtigungen, deaktivierte ungenutzte Funktionen — begrenzt den Wirkungsradius, wenn die nächste Lücke auftaucht. Für Server, die Sie nicht innerhalb des Zeitfensters patchen können, ist eine Web Application Firewall mit Virtual-Patching-Regeln ein Notbehelf, kein Fix.
Warum ColdFusion immer wieder in Breach-Berichten landet
Das ist nicht ColdFusions erstes Priorität-1-Rodeo. Die Laufzeit ist ein älterer, quelloffen nicht einsehbarer Anwendungsserver, der noch immer in Finanzwesen, Versicherungen, Behörden und langlebigen Unternehmenssystemen steckt — oft auf mit dem Internet verbundenen Hosts, die langsam aktualisiert werden, weil niemand eine geschäftskritische App anfassen will, die „noch läuft“. Das ist eine gefährliche Kombination: hohe Exposition, hohe Wirkung und langsame Patch-Zyklen. ColdFusion-Schwachstellen sind wiederholt in Katalogen ausgenutzter Schwachstellen gelandet, gerade weil nicht authentifizierte Datei-Upload- und Traversal-Bugs Angreifern aus einer einzigen Anfrage Remote Code Execution verschaffen.
Adobes Hinweis, dass bei der Offenlegung keine Exploits bekannt sind, stimmt, hat aber eine kurze Haltbarkeit. Sobald ein Patch öffentlich ist, vergleichen Angreifer ihn mit dem vorherigen Build, um die Schwachstelle zu rekonstruieren, und ein funktionierender Exploit für mit dem Internet verbundene Ziele kann binnen Tagen auftauchen. Die sichere Annahme für eine Priorität-1-ColdFusion-Lücke mit Codeausführung ist, dass das Fenster zwischen Offenlegung und Ausnutzung in Tagen gemessen wird, nicht in Monaten.
Was das für US- und EU-Softwareteams bedeutet
Streicht man die CVE-Nummern, ist dieses Release eine Governance-Frage. Für US-Teams fließen ungepatchte Codeausführungs-Lücken auf Systemen mit Kunden- oder Zahlungsdaten direkt in die Meldepflicht bei Datenpannen und in Kontrollversagen nach SOC 2 ein. Für EU-Teams und alle, die nach Europa verkaufen, lässt sich ein mit dem Internet verbundener Server mit einer bekannten Schwachstelle höchster Kritikalität schwer mit der DSGVO-Pflicht zum Schutz „nach dem Stand der Technik“ vereinbaren — und, für in den Anwendungsbereich fallende Einrichtungen, mit den strengeren Vorfall- und Resilienzerwartungen aus NIS2 und DORA. Eine Lücke, die Sie kannten und nicht gepatcht haben, ist die schlimmste Version dieses Gesprächs.
Regulierte Branchen spüren es zuerst. Ein FinTech- oder Gesundheitsbetrieb, der Legacy-ColdFusion betreibt, trägt das technische Risiko und das Compliance-Risiko auf derselben Maschine. Der pragmatische Schritt ist, die beiden Uhren zu trennen: diese Woche auf der Notfalluhr patchen und die Laufzeit selbst in diesem Quartal auf eine Modernisierungsuhr stellen. Der wiederkehrende Strom kritischer ColdFusion-Bulletins ist der Business Case — jedes einzelne bedeutet ungeplante Notfallarbeit, Sicherheitsprüfung und Audit-Exposition, die ein unterstützter, moderner Stack nicht erzeugen würde.
Es gibt auch eine Disziplinfalle, die man benennen sollte. „Wir patchen es später“ und „wir migrieren irgendwann“ sind die zwei Versagensmuster, und sie verstärken einander: Die Migration beginnt nie, also hören die Notfall-Patches nie auf. Diese Schleife zu durchbrechen erfordert kein Big-Bang-Rewrite. Meist beginnt es damit, die mit dem Internet verbundenen und regulierten ColdFusion-Workloads zu identifizieren, sie zu isolieren und zuerst diese zu modernisieren — die risikoreichste Scheibe, nicht die ganze Landschaft auf einmal.
Was diese Woche zu tun ist
Hier ist die auslieferbare Fassung. Behandeln Sie das Bulletin als Vorfall mit einer 72-Stunden-Uhr und wandeln Sie die Lehre dann in einen Plan.
- Inventarisieren Sie ColdFusion jetzt. Finden Sie jede ColdFusion-2025- und -2023-Instanz, besonders die mit dem Internet verbundenen. Man kann nicht patchen, was man nicht sieht, und Schatten-ColdFusion ist in alten Unternehmen verbreitet.
- Spielen Sie die Updates ein. Wechseln Sie innerhalb von Adobes 72-Stunden-Fenster auf ColdFusion 2025 Update 10 oder 2023 Update 21 (und Campaign Classic Build 9397); priorisieren Sie Perimeter- und regulierte Systeme.
- Härten Sie mit dem Lockdown-Leitfaden. Erzwingen Sie minimale Rechte, beschränken Sie Dateisystem- und Upload-Pfade und deaktivieren Sie ungenutzte Komponenten, damit die nächste Lücke einen kleineren Wirkungsradius hat.
- Ergänzen Sie Virtual Patching für Nachzügler. Stellen Sie eine WAF mit Regeln für Datei-Upload und Traversal vor jeden Server, den Sie nicht sofort patchen können — als Notbehelf, nicht als Ersatz.
- Suchen Sie, bevor Sie „sauber“ annehmen. Prüfen Sie Logs auf verdächtige Uploads, neue Dateien in Web-Roots und unerwartete ausgehende Verbindungen seit Juni; behandeln Sie eine Priorität-1-Laufzeit auf exponierten Hosts als kompromittiert-bis-zum-Beweis-des-Gegenteils.
- Scopen Sie den Ausstieg. Priorisieren Sie mit dem Internet verbundene und regulierte ColdFusion-Workloads und setzen Sie einen Modernisierungsplan gegen die Spitze dieser Liste, damit das nächste Bulletin das Problem eines anderen ist.
Nichts davon ist Rechtsberatung, und Ihre genauen Pflichten hängen von Ihren Daten, Ihrer Branche und Ihrer Rechtsordnung ab. Aber das strategische Signal ist klar: Schwachstellen höchster Kritikalität in Legacy-Laufzeiten sind inzwischen ein Routineereignis, und der Vorteil geht an Teams, die schnell patchen und die Fläche verkleinern — nicht an denjenigen, der hofft, das nächste Bulletin lasse ihn aus.
Häufig gestellte Fragen
Was hat Adobe im Juli 2026 in ColdFusion gepatcht?
Am 1. Juli 2026 veröffentlichte Adobe Bulletin APSB26-68 und behob 11 Schwachstellen in ColdFusion 2025 und 2023. Sechs tragen den maximalen CVSS-10.0-Wert und stammen aus uneingeschränktem Datei-Upload, unzureichender Eingabevalidierung und Path Traversal, die zu beliebiger Codeausführung führen können. Ein begleitendes Bulletin, APSB26-69, behob eine CVSS-10.0-Lücke in Campaign Classic — insgesamt sieben Schwachstellen höchster Kritikalität.
Welche ColdFusion-Versionen sind betroffen und wie behebe ich das?
Die Lücken betreffen ColdFusion 2025 Update 9 und früher sowie ColdFusion 2023 Update 20 und früher. Adobe behob sie in ColdFusion 2025 Update 10 und 2023 Update 21; spielen Sie diese Updates ein und befolgen Sie Adobes Lockdown-Leitfaden. Die Campaign-Classic-Lücke (CVE-2026-48286) betrifft On-Premises-Build 9396 und früher und ist in Build 9397 behoben.
Werden diese ColdFusion-Schwachstellen ausgenutzt?
Bei der Offenlegung waren Adobe keine öffentlichen Exploits für diese konkreten Lücken bekannt, aber es vergab seine höchste Einstufung Priorität 1 und drängte zum Patchen innerhalb von 72 Stunden. ColdFusion wird historisch bald nach dem Erscheinen von Fixes angegriffen, weil Angreifer den Patch zurückentwickeln — behandeln Sie das ruhige Fenster also als kurz.
Warum ist ungepatchtes ColdFusion ein so häufiger Einfallsweg?
ColdFusion ist eine ältere Laufzeit, die noch immer breit in Finanzwesen, Versicherungen und Behörden im Einsatz ist, oft auf mit dem Internet verbundenen Servern, die langsam patchen. Ihre Lücken erlauben häufig einen Datei-Upload oder Path Traversal vor der Authentifizierung, der zu Remote Code Execution führt und Angreifern aus einer einzigen, nicht authentifizierten Anfrage einen Fuß in die Tür setzt — weshalb es in Katalogen ausgenutzter Schwachstellen wiederkehrt.
Sollten wir ColdFusion weiter patchen oder darauf verzichten und migrieren?
Beides, auf unterschiedlichen Uhren. Patchen Sie jetzt und stellen Sie mit dem Internet verbundenes ColdFusion als Zwischenmaßnahme hinter eine WAF mit virtuellem Patching. Behandeln Sie dann den stetigen Strom von Schwachstellen höchster Kritikalität als Grund, eine Migration weg von der Legacy-Laufzeit zu planen — beginnend mit mit dem Internet verbundenen und regulierten Workloads.
Quellen
Adobe — Sicherheitsupdate für ColdFusion (APSB26-68), 1. Juli 2026 (Primärquelle)
BleepingComputer — Adobe patches seven max severity ColdFusion, Campaign flaws, 1. Juli 2026
SecurityWeek — Adobe Patches Critical ColdFusion, Campaign Classic Vulnerabilities, 1. Juli 2026