Kerngegevens
- Leverancier
- Adobe
- Product
- ColdFusion
- Soort software
- –
- Getroffen versies
- ColdFusion 2025.9 en eerder, 2023.20 en eerder
- Oplossing
- Nog geen oplossing
- Opgeloste versie
- Nog geen update
- CVE gepubliceerd
- 30 juni 2026
- Op de KEV-lijst sinds
- 7 juli 2026
- Gepubliceerd op LekkenRadar
- 8 oktober 2026
- Laatst gewijzigd bij NVD
- 7 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Adobe ColdFusion zit een fout waarbij de software onvoldoende controleert welk pad een aanvaller opvraagt. Daardoor kan een aanvaller buiten de bedoelde map komen en op de server eigen code laten uitvoeren, met de rechten van de gebruiker waaronder ColdFusion draait. Hiervoor is geen inlog en geen handeling van een gebruiker nodig. Het lek wordt al actief misbruikt.
Wie loopt risico?
Je loopt risico als je ColdFusion 2025 (tot en met versie 2025.9) of ColdFusion 2023 (tot en met versie 2023.20) gebruikt. Vooral servers die via het netwerk of internet bereikbaar zijn, zijn een doelwit, omdat de aanval op afstand kan en geen inloggegevens vraagt. Bij een geslaagde aanval kan ook de omgeving buiten ColdFusion zelf geraakt worden.
Wat moet je doen?
Nog geen update beschikbaar
De leverancier werkt eraan. Hieronder lees je hoe je het risico tot die tijd kleiner maakt.
Ga na of je ColdFusion gebruikt
Controleer welke servers ColdFusion draaien en welke versie erop staat. Versies 2025.9, 2023.20 en eerder zijn getroffen.
Volg het advies van Adobe
Lees het beveiligingsbericht van Adobe (APSB26-68) en pas de daarin genoemde maatregelen toe. In de gegevens staat geen specifieke opgeloste versie, dus ga uit van wat Adobe daar adviseert.
Beperk de blootstelling
Haal ColdFusion-servers waar mogelijk van het open internet of laat alleen noodzakelijk verkeer toe, bijvoorbeeld via een firewall of VPN.
Zoek naar sporen van misbruik
Omdat het lek al wordt misbruikt, is het verstandig logbestanden en de server te controleren op verdachte verzoeken, onbekende bestanden of ongebruikelijke processen.
Stop het gebruik als maatregelen ontbreken
Kun je de maatregelen van Adobe niet toepassen, overweeg dan het product tijdelijk niet meer te gebruiken.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een path traversal (CWE-22): invoer die een pad bepaalt wordt onvoldoende beperkt tot een toegestane map. Een aanvaller kan hierdoor buiten die map terechtkomen en uiteindelijk willekeurige code uitvoeren in de context van de huidige gebruiker. De CVSS-vector (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) laat zien dat de aanval via het netwerk kan, laag in complexiteit is, geen rechten of gebruikersinteractie vereist en dat het bereik verandert (scope changed). Het effect op vertrouwelijkheid, integriteit en beschikbaarheid is hoog. CISA nam het lek op 7 juli 2026 op in de lijst met actief misbruikte kwetsbaarheden.
CVSS-vector (versie 3.1, basisscore 10,0, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-22 · Onjuiste beperking van een padnaam tot een afgeschermde map (path traversal)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 42,4%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 7 juli 2026
- Deadline van CISA
- 10 juli 2026
- Gebruikt door ransomwaregroepen
- Niet bekend