Kerngegevens
- Leverancier
- Adobe
- Product
- ColdFusion
- Soort software
- webserver
- Getroffen versies
- ColdFusion 2025 2025.0.13 en eerder
- ColdFusion 2023 2023.0.25 en eerder
- Oplossing
- Update beschikbaar
- Opgeloste versie
- ColdFusion 2025 Update 14 (2025.0.14)
- ColdFusion 2023 Update 26 (2023.0.26)
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 14 oktober 2026
- Laatst gewijzigd bij NVD
- 20 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Adobe ColdFusion zit een fout waarbij bestanden van een gevaarlijk type kunnen worden geüpload zonder dat dit voldoende wordt beperkt. Een aanvaller kan hierdoor zelf gekozen code laten uitvoeren op de server, met de rechten van de gebruiker onder wie ColdFusion draait. Hiervoor is geen handeling van een gebruiker nodig. De impact reikt volgens de beoordeling verder dan alleen ColdFusion zelf.
Wie loopt risico?
Je loopt risico als je Adobe ColdFusion gebruikt, vooral als de server via het netwerk of internet bereikbaar is. De aanval kan op afstand en zonder inloggegevens worden uitgevoerd. In de gegevens zijn geen aanwijzingen voor actief misbruik of een publiek beschikbare exploit. Welke versies precies getroffen zijn, staat niet in de gegevens en haal je uit het advies van Adobe.
Wat moet je doen?
Controleer of je ColdFusion gebruikt
Ga na op welke servers Adobe ColdFusion draait en welke versie dat is, ook bij test- en ontwikkelomgevingen.
Installeer de update van Adobe
Werk bij naar ColdFusion 2025 Update 14 of ColdFusion 2023 Update 26 (Adobe-bulletin APSB26-144). Adobe geeft de update prioriteit 1: zo snel mogelijk installeren.
Beperk de blootstelling
Zorg dat ColdFusion-servers niet onnodig vanaf internet bereikbaar zijn en beperk de toegang tot uploadfuncties zolang je niet bijgewerkt hebt.
Controleer op verdachte bestanden
Kijk in uploadmappen en logbestanden of er onverwachte bestanden of verdachte activiteit zijn.
Eén update voor 32 lekken
Dezelfde update lost alle 32 lekken uit APSB26-144 op. Het overzicht staat in ons artikel over deze ColdFusion-update.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek valt onder CWE-434: het ongecontroleerd uploaden van een bestand met een gevaarlijk type. Een aanvaller kan een bestand aanbieden dat de server accepteert en vervolgens als uitvoerbare code kan behandelen, waardoor willekeurige code wordt uitgevoerd in de context van de huidige gebruiker. De CVSS-vector (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) laat zien dat de aanval via het netwerk kan, laagdrempelig is, geen rechten en geen gebruikersinteractie vereist. De scope is gewijzigd, dus de gevolgen reiken verder dan het kwetsbare onderdeel. Vertrouwelijkheid, integriteit en beschikbaarheid zijn alle drie hoog geraakt. De score van 10,0 komt van de CNA.
CVSS-vector (versie 3.1, basisscore 10,0, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-434 · Ongecontroleerd uploaden van bestanden met een gevaarlijk type
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,6%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies