Adobe hat Adobe Sicherheitsupdates bereitgestellt, um mehrere kritische Sicherheitslücken in ColdFusion, Commerce und Campaign Classic zu schließen. Werden die Schwachstellen erfolgreich ausgenutzt, sind laut Anbieter Szenarien wie beliebige Codeausführung und Rechteausweitung möglich. Besonders ernst ist das Risiko bei Schwachstellen mit sehr hohen CVSS-Werten.
In diesem Beitrag fassen wir die wichtigsten Punkte zusammen: welche Produkte betroffen sind, welche CVEs im Fokus stehen und was Administratoren praktisch beachten sollten.
Warum die Updates jetzt wichtig sind
Adobe stuft die relevanten Fixes für ColdFusion und Campaign Classic mit Priority 1 ein. Diese Einstufung steht laut Mitteilung für Schwachstellen mit erhöhter Wahrscheinlichkeit, von Angreifern gezielt ausgenutzt zu werden.
Obwohl es zum Zeitpunkt der Veröffentlichung keine Hinweise darauf gibt, dass die genannten Lücken bereits aktiv missbraucht werden, empfehlen die Update-Hinweise eine zeitnahe Installation. Ziel ist es, den Angriffspfad möglichst schnell zu schließen.
ColdFusion: Kritische Lücken mit CVSS bis 10.0
Für ColdFusion benennt Adobe mehrere Schwachstellen, die je nach Art der Lücke besonders gefährlich sein können. Zwei der schwersten Fälle erreichen CVSS 10.0.
- CVE-2026-48362 (CVSS 10.0): Betriebssystem-Command-Injection in ColdFusion. Mögliche Folge: beliebige Codeausführung. Fix in 2025.0.12 und 2023.0.23.
- CVE-2026-48273 (CVSS 9.9): Eval-Injection in ColdFusion. Auch hier: Risiko für beliebige Codeausführung. Fix in 2025.0.12 und 2023.0.23.
- CVE-2026-71384 (CVSS 9.6): Falsche Autorisierung in ColdFusion. Mögliche Folge: Denial-of-Service für die Anwendung. Fix in 2025.0.12 und 2023.0.23.
Für Betreiber bedeutet das: ColdFusion sollte priorisiert werden, insbesondere wenn die betroffenen Versionen nicht bereits auf die genannten Fixstände aktualisiert wurden.
Commerce: Risiko durch falsche Autorisierung
Auch Commerce ist in den Adobe Sicherheitsupdates Teil der Maßnahmen. Adobe nennt dafür eine hochbewertete Schwachstelle:
- CVE-2026-71362 (CVSS 9.1): Falsche Autorisierung in Commerce. Mögliche Folge: Rechteausweitung.
Im Rahmen der verfügbaren Informationen werden für diese Commerce-Lücke keine konkreten Fix-Versionen im Detail genannt. Administratoren sollten deshalb in den jeweiligen offiziellen Update- bzw. Advisory-Dokumenten prüfen, welche Version ihres Systems betroffen ist und welche Zielstände notwendig sind.
Campaign Classic: Mehrere kritische CVEs
Für Campaign Classic liegt der Schwerpunkt ebenfalls stark auf schwerwiegenden Schwachstellen. Adobe nennt mehrere CVEs mit sehr hohen CVSS-Werten, darunter zwei mit CVSS 10.0.
- CVE-2026-71398 (CVSS 10.0): Falsche Autorisierung in Campaign Classic, potenziell mit beliebiger Codeausführung. Fix in ACC v7 7.4.4 build 9400.
- CVE-2026-27302 (CVSS 10.0): Ebenfalls falsche Autorisierung in Campaign Classic, ebenfalls mit Risiko für beliebige Codeausführung. Fix in ACC v7 7.4.4 build 9400.
- CVE-2026-48381 (CVSS 9.0): SQL-Injection in Campaign Classic. Mögliche Folge: beliebige Codeausführung. Fix in ACC v7 7.4.4 build 9400.
Damit ist klar: Für Campaign Classic sollten Updates auf den genannten Build bzw. die dort beschriebene Fix-Version als zentrale Maßnahme betrachtet werden.
On-Premise vs. gehostete Instanzen: Was gilt für Kunden?
Ein wichtiger Punkt in den Hinweisen betrifft die Art der Bereitstellung. Die Campaign-Classic-Updates gelten laut Adobe nur für vollständig On-Premise Deployments sowie für die On-Premise-Komponenten in hybriden Setups.
Für Adobe gehostete Instanzen gilt hingegen: Diese sollen bereits remediated worden sein und erfordern demnach keine Aktion durch Kunden. Betreiber sollten daher anhand ihrer Installationsart prüfen, ob und welche Teile ihres Systems in den Update-Plan aufgenommen werden müssen.
Keine bekannten Angriffe, trotzdem: Zeitfenster einplanen
Adobe weist darauf hin, dass es keine Belege dafür gibt, dass die Schwachstellen bereits in der Praxis ausgenutzt werden. Trotzdem raten die Mitteilungen dazu, die Patches so bald wie möglich zu installieren, idealerweise innerhalb von 72 Stunden.
Das ist besonders relevant, weil Priority-1-Schwachstellen in der Regel das Ziel schnellerer Angriffsversuche sein können, sobald mögliche Exploits öffentlich oder intern verfügbar werden.
Einordnung: Weitere Patch-Runde kurz zuvor
Zusätzlich erwähnt Adobe, dass die Veröffentlichung dieser Updates weniger als zwei Wochen nach einer vorherigen Patch-Runde erfolgt. Damals wurden bereits Schwachstellen in Campaign Classic adressiert, inklusive einer maximale-severity Sicherheitslücke mit CVSS 10.0 (CVE-2026-48449), die ebenfalls beliebige Codeausführung ermöglichen konnte.
Diese zeitliche Nähe zeigt, dass Campaign Classic in dieser Phase besonders intensiv im Fokus von Sicherheitsarbeiten steht.
Praktische Checkliste für Administratoren
Damit aus den Informationen schnell umsetzbare Maßnahmen werden, können Administratoren folgende Punkte prüfen:
- Versionen verifizieren: Prüfen, ob Ihre ColdFusion-Instanzen bereits auf 2025.0.12 oder 2023.0.23 aktualisiert sind.
- Campaign Classic Build prüfen: Sicherstellen, dass ACC v7 auf 7.4.4 build 9400 aktualisiert wurde, wenn Sie On-Premise oder betroffene Hybrid-Komponenten betreiben.
- Bereitstellungstyp klären: Für gehostete Instanzen ggf. keine eigenen Aktionen nötig, für On-Premise-Komponenten jedoch schon.
- Commerce-Lücke bewerten: In den offiziellen Unterlagen die konkreten Fixstände für CVE-2026-71362 ermitteln.
- Update-Fenster einplanen: Aufgrund der Priority-1-Einstufung kurzfristig planen, bevorzugt im Rahmen der genannten 72 Stunden.
Fazit
Mit den Adobe Sicherheitsupdates schließt Adobe mehrere hochkritische Lücken in ColdFusion, Commerce und Campaign Classic. Besonders dringlich sind Fälle mit CVSS 10.0, darunter Command- und Eval-Injection sowie weitere Autorisierungs- und SQL-Injection-Schwachstellen mit Potenzial für beliebige Codeausführung und Rechteausweitung.
Auch wenn aktuell keine Ausnutzung in freier Wildbahn belegt ist, sollte die Aktualisierung zeitnah erfolgen. Wer die jeweiligen Versionen und den eigenen Bereitstellungstyp prüft, kann die Risiken deutlich reduzieren und den Patch-Zyklus sauber abschließen.
Quelle: https://thehackernews.com/2026/08/adobe-patches-three-cvss-100-coldfusion.html
