Kerngegevens
- Leverancier
- Adobe
- Product
- ColdFusion
- Soort software
- webserver
- Getroffen versies
- ColdFusion 2025 2025.0.13 en eerder
- ColdFusion 2023 2023.0.25 en eerder
- Oplossing
- Update beschikbaar
- Opgeloste versie
- ColdFusion 2025 Update 14 (2025.0.14)
- ColdFusion 2023 Update 26 (2023.0.26)
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 14 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Adobe ColdFusion zit een kwetsbaarheid van het type server-side request forgery (SSRF). Een aanvaller kan de server daarbij zelf verzoeken laten doen, waardoor hij meer rechten kan krijgen dan bedoeld. Daar is geen handeling van een gebruiker voor nodig. De ernst is kritiek, met de hoogst mogelijke score van 10,0.
Wie loopt risico?
Risico lopen organisaties die ColdFusion van Adobe draaien, vooral als de server vanaf het netwerk of internet bereikbaar is. Volgens de beoordeling is hiervoor geen inlog nodig en kan de aanval via het netwerk plaatsvinden. Welke versies precies getroffen zijn, staat niet in de beschikbare gegevens. Controleer dat in het advies van Adobe.
Wat moet je doen?
Ga na waar je ColdFusion gebruikt
Maak een overzicht van alle ColdFusion-servers in je omgeving, ook testsystemen en servers die weinig worden beheerd.
Installeer de update van Adobe
Werk bij naar ColdFusion 2025 Update 14 of ColdFusion 2023 Update 26 (Adobe-bulletin APSB26-144). Doe dit eerst op de servers die vanaf internet bereikbaar zijn.
Beperk de blootstelling
Zorg dat ColdFusion-servers alleen bereikbaar zijn voor wie dat nodig heeft. Beperk ook welke interne systemen en diensten de server zelf mag benaderen.
Eén update voor 32 lekken
Dezelfde update lost alle 32 lekken uit APSB26-144 op. Het overzicht staat in ons artikel over deze ColdFusion-update.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een server-side request forgery (CWE-918) in Adobe ColdFusion. De server kan worden gedwongen verzoeken te sturen naar bestemmingen die de aanvaller kiest, wat tot rechtenverhoging kan leiden. De CVSS 3.1-vector is AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Dat betekent aanvallen via het netwerk, lage complexiteit, geen rechten en geen gebruikersinteractie nodig. Het effect reikt buiten het kwetsbare onderdeel (scope changed) en raakt vertrouwelijkheid, integriteit en beschikbaarheid volledig. De score komt van de CNA (Adobe). Voor zover bekend is er geen publieke exploit.
CVSS-vector (versie 3.1, basisscore 10,0, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-918 · Server-side request forgery (SSRF)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,7%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies