Kerngegevens
- Leverancier
- Adobe
- Product
- ColdFusion
- Soort software
- webserver
- Getroffen versies
- ColdFusion 2025 2025.0.13 en eerder
- ColdFusion 2023 2023.0.25 en eerder
- Oplossing
- Update beschikbaar
- Opgeloste versie
- ColdFusion 2025 Update 14 (2025.0.14)
- ColdFusion 2023 Update 26 (2023.0.26)
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 14 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Adobe ColdFusion zit een fout waarbij de software onvoldoende controleert welke code zij zelf genereert en uitvoert. Daardoor kan een aanvaller eigen code laten draaien met de rechten van de gebruiker waaronder ColdFusion draait. Dat kan zonder dat iemand iets hoeft aan te klikken. De kwetsbaarheid heeft ernst kritiek (10,0).
Wie loopt risico?
Je loopt risico als je Adobe ColdFusion 2025 tot en met 2025.0.13 of ColdFusion 2023 tot en met 2023.0.25 gebruikt. Het risico is het grootst als de server vanaf internet bereikbaar is. Adobe meldt geen actief misbruik.
Wat moet je doen?
Ga na of je ColdFusion gebruikt
Controleer welke servers en toepassingen in jouw organisatie ColdFusion draaien, ook oudere of vergeten systemen.
Installeer de update van Adobe
Werk bij naar ColdFusion 2025 Update 14 of ColdFusion 2023 Update 26 (Adobe-bulletin APSB26-144).
Beperk de blootstelling
Zorg dat ColdFusion-servers niet onnodig vanaf internet bereikbaar zijn, en schakel ze uit of scherm ze af als je ze niet gebruikt.
Eén update voor 32 lekken
Dezelfde update lost alle 32 lekken uit APSB26-144 op. Het overzicht staat in ons artikel over deze ColdFusion-update.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een codeinjectie (CWE-94): ColdFusion beheerst het genereren van code onvoldoende, waardoor door een aanvaller aangeleverde invoer als code wordt uitgevoerd. De CVSS-vector (3.1) is AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Dat betekent aanval via het netwerk, lage complexiteit, geen rechten en geen gebruikersinteractie nodig. De scope verandert, dus de gevolgen reiken verder dan het kwetsbare onderdeel zelf. De impact op vertrouwelijkheid, integriteit en beschikbaarheid is hoog. De code draait in de context van de huidige gebruiker.
CVSS-vector (versie 3.1, basisscore 10,0, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-94 · Onjuiste controle over het genereren van code (code-injectie)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,1%
- Aanvalscode openbaar
- Nee
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies