Adobe hat Sicherheitsupdates veröffentlicht, die sieben kritische Schwachstellen in ColdFusion, Adobe Commerce und Adobe Campaign Classic beheben. Drei davon wurden mit dem maximalen CVSS 10.0 bewertet und ermöglichen Angreifern die Ausführung beliebigen Codes auf verwundbaren Systemen. Die Updates für ColdFusion und Campaign Classic wurden von Adobe mit dem Rating Priority 1 eingestuft, was auf ein erhöhtes Risiko zielgerichteter Angriffe hinweist. Administratoren wird empfohlen, die Patches innerhalb von 72 Stunden zu installieren.
ColdFusion-Schwachstellen: OS command injection und eval injection
Die gefährlichste der entdeckten Schwachstellen — CVE-2026-48362 (CVSS 10.0) — ist eine OS command injection in ColdFusion. Eine erfolgreiche Ausnutzung ermöglicht es einem Angreifer, beliebigen Code auf dem Server auszuführen. Die maximale CVSS-Bewertung bedeutet, dass die Ausnutzung keine Authentifizierung erfordert und aus der Ferne mit vollständiger Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit des Systems erfolgen kann.
Die zweite kritische ColdFusion-Schwachstelle — CVE-2026-48273 (CVSS 9.9) — steht im Zusammenhang mit einer eval injection und führt ebenfalls zur Ausführung beliebigen Codes. Die dritte Schwachstelle — CVE-2026-71384 (CVSS 9.6) — ist ein Autorisierungsfehler, der zu einem Denial-of-Service-Zustand der Anwendung führen kann.
Alle drei ColdFusion-Schwachstellen wurden in den Versionen 2025.0.12 und 2023.0.23 behoben.
Campaign Classic: drei Schwachstellen mit maximalem und hohem CVSS
In Adobe Campaign Classic wurden zwei Schwachstellen mit einem CVSS-Score von 10.0 entdeckt, die beide mit fehlerhafter Autorisierung zusammenhängen:
- CVE-2026-71398 (CVSS 10.0) — Autorisierungsfehler, der zur Ausführung beliebigen Codes führt
- CVE-2026-27302 (CVSS 10.0) — ähnlicher Autorisierungsfehler mit demselben Ausnutzungsvektor
- CVE-2026-48381 (CVSS 9.0) — SQL injection, die ebenfalls die Ausführung beliebigen Codes ermöglicht
Alle drei Schwachstellen wurden in ACC v7 7.4.4 build 9400 behoben. Ein kritisch wichtiger Aspekt: Die Updates sind nur auf vollständig lokale Bereitstellungen und auf lokale Komponenten hybrider Installationen anwendbar. Campaign-Classic-Instanzen, die auf der Infrastruktur von Adobe betrieben werden, haben die Patches bereits erhalten und erfordern kein Eingreifen der Kunden.
Adobe Commerce: Privilege Escalation
In Adobe Commerce wurde die Schwachstelle CVE-2026-71362 (CVSS 9.1) entdeckt — ein Autorisierungsfehler, der es einem Angreifer ermöglicht, seine Berechtigungen im System auszuweiten (privilege escalation). Für eine E‑Commerce-Plattform ist eine derartige Schwachstelle besonders gefährlich: Der Erhalt administrativer Zugriffsrechte eröffnet die Möglichkeit, Bestellungen, Kundendaten und Zahlungsinformationen zu manipulieren.
Einschätzung der Auswirkungen
Die Kombination mehrerer Faktoren macht dieses Set an Schwachstellen besonders gefährlich. ColdFusion wird in Unternehmensumgebungen weit verbreitet für Webanwendungen eingesetzt, während Campaign Classic ein zentrales Werkzeug für die Marketing-Automatisierung großer Organisationen ist. Die OS command injection (CVE-2026-48362) und die eval injection (CVE-2026-48273) in ColdFusion bieten einem Angreifer einen unmittelbaren Weg zur Codeausführung auf dem Server, was zu einer vollständigen Kompromittierung der Infrastruktur führen kann.
Es ist eine beunruhigende Tendenz zu beobachten: Berichten zufolge hat Adobe vor weniger als zwei Wochen bereits einen Patch für eine andere Schwachstelle mit maximaler Kritikalität in Campaign Classic veröffentlicht — CVE-2026-48449 (CVSS 10.0), die ebenfalls mit der Ausführung beliebigen Codes zusammenhängt. Das erneute Auftreten kritischer Schwachstellen in einem Produkt in so kurzer Zeit deutet auf systemische Probleme bei der Sicherheit der Codebasis hin.
Zum Zeitpunkt der Veröffentlichung sind keine bestätigten Fälle der Ausnutzung dieser Schwachstellen bekannt geworden, und keine von ihnen ist im CISA-KEV-Katalog gelistet. Die Einstufung der Updates für ColdFusion und Campaign Classic mit dem Rating Priority 1 bedeutet jedoch, dass Adobe die Wahrscheinlichkeit zielgerichteter Angriffe als hoch einschätzt.
Empfehlungen zur Behebung
- ColdFusion: Aktualisierung auf Version 2025.0.12 oder 2023.0.23, abhängig vom verwendeten Release-Zweig
- Campaign Classic: Installation von ACC v7 7.4.4 build 9400 auf allen lokalen und hybriden Installationen; für von Adobe gehostete Cloud-Instanzen sind keine Massnahmen erforderlich
- Adobe Commerce: Installation des Updates, das CVE-2026-71362 behebt
- Priorität der Installation: innerhalb von 72 Stunden, entsprechend den Empfehlungen von Adobe für Updates der Kategorie Priority 1
- Nach der Aktualisierung sollten die Serverlogs von ColdFusion und Campaign Classic auf Anzeichen unautorisierter Befehlsausführung oder anomaler Autorisierungsanfragen geprüft werden
Organisationen, die ColdFusion, Adobe Commerce oder Campaign Classic in lokalen oder hybriden Konfigurationen einsetzen, sollten die Updates umgehend installieren, ohne auf das Auftauchen öffentlicher Exploits zu warten. Das Vorhandensein von drei Schwachstellen mit CVSS 10.0 in einem einzigen Update-Zyklus sowie ein weiterer kritischer Patch für Campaign Classic innerhalb von weniger als zwei Wochen sind ausreichende Gründe für ein sofortiges, nicht nur planmäßiges Update.
