Adobe ColdFusion: Sieben kritische Lücken mit Höchstbewertung gepatcht
02.07.2026 - 16:31:49 | boerse-global.de
Adobe hat am 1. Juli 2026 dringende Sicherheitsupdates für ColdFusion und Campaign Classic veröffentlicht. Die Patches schließen mehrere Schwachstellen mit der maximalen Risikobewertung von 10,0.
Bereits seit Anfang Juni beobachten Cybersicherheitsexperten eine ausgeklügelte Angriffswelle auf ungepatchte ColdFusion-Server. Die mehrstufigen Attacken zeigen, wie professionell Angreifer mittlerweile vorgehen.
Stealth-Angriffe auf ColdFusion-Umgebungen
Seit dem 7. Juni 2026 registrieren Sicherheitsforscher eine Serie gezielter Cyberangriffe auf Adobe-ColdFusion-Umgebungen. Die Täter nutzten zunächst bekannte Sicherheitslücken wie CVE-2023-26360 und CVE-2023-29298, um Zugang zu Unternehmenssystemen zu erhalten.
Besonders raffiniert: Die Angreifer setzten auf Steganografie – sie versteckten schädliche Webshells in Bilddateien, um klassische Erkennungsmechanismen zu umgehen. Ein solcher Schadcode, identifiziert als UA4fp7R.aspx, blieb so lange unentdeckt.
Einmal im Netzwerk, gingen die Täter systematisch vor: Sie deaktivierten Sicherheitsüberwachungstools wie Microsoft Defender, Sysmon, Elastic Filebeat, Sentinel und Cortex. Um ihre Spuren zu verwischen, manipulierten sie Registry-Einträge und veränderten Datei-Metadaten – eine Technik, die als Timestomping bekannt ist.
Selbst wenn Unternehmen die ersten Webshells entfernten, kehrten die Angreifer oft Tage später zurück. Der Grund: verfrühte Server-Wiederherstellungen. In der finalen Phase setzten die Hacker Mimikatz ein, um Zugangsdaten zu stehlen. Auffällig: Die Kommunikationsstrings der Angreifer enthielten Begriffe wie „ONEPIECE" und „x_best_911".
Angriffe auf Server-Umgebungen und professionelle Verschleierungstaktiken zeigen, wie verwundbar die IT-Infrastruktur moderner Firmen geworden ist. Dieses Gratis-E-Book enthüllt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit stärken ohne teure Investitionen
Sieben Schwachstellen mit Höchstbewertung
Die nun veröffentlichten Updates schließen insgesamt sieben Sicherheitslücken in ColdFusion mit einem CVSS-Score von 10,0 – der höchstmöglichen Risikobewertung. Darunter:
- CVE-2026-48276 und CVE-2026-48283: Ermöglichen uneingeschränkte Datei-Uploads
- CVE-2026-48316 und CVE-2026-48282: Schwachstellen bei der Eingabevalidierung und Path-Traversal
Die Patches betreffen ColdFusion 2023 (Update 21) und ColdFusion 2025 (Update 10). Für Campaign Classic (Build 9397) schließt Adobe mit CVE-2026-48286 eine kritische Autorisierungslücke.
Obwohl Adobe betont, dass für diese spezifischen 2026er-Lücken noch keine aktiven Angriffe bekannt sind, kündigte das Unternehmen eine bedeutende Änderung seiner Sicherheitsstrategie an: Ab dem 14. Juli 2026 stellt Adobe auf einen zweiwöchigen Update-Rhythmus um. Grund ist die zunehmende Geschwindigkeit, mit der Schwachstellen – unterstützt durch künstliche Intelligenz – entdeckt werden.
Parallel laufende Bedrohungen
Die Adobe-Patches kommen zu einer Zeit, in der auch andere kritische Sicherheitslücken aktiv ausgenutzt werden. Eine kürzlich entdeckte Authentifizierungslücke in SimpleHelp Remote Monitoring and Management (CVE-2026-48558) wird seit dem 29. Juni 2026 genutzt, um die Schadsoftware Djinn Stealer zu verbreiten. Diese stiehlt Zugangsdaten von Cloud-Diensten und KI-Assistenten.
Noch alarmierender: Zwischen dem 12. und 26. Juni 2025 registrierten Sicherheitsforscher eine massive automatisierte Passwort-Attacke auf die Azure Command-Line Interface (CLI). Rund 81 Millionen Anmeldeversuche gingen von einem IPv6-Bereich aus, der mit einem chinesischen Anbieter in Verbindung steht. Die Angreifer knackten 78 Konten in 64 verschiedenen Organisationen – und umgingen dabei die Multi-Faktor-Authentifizierung in Umgebungen mit fehlerhaft konfigurierten Zugriffsrichtlinien.
Angesichts massiver automatisierter Attacken auf Unternehmensnetzwerke wird ein proaktiver Schutz der digitalen Infrastruktur zur Pflicht für jeden Geschäftsführer. Experten erklären im kostenlosen E-Book, wie Sie sich wirksam absichern, bevor es zu spät ist. Kostenlose Cyber-Security-Checkliste anfordern
Experten raten dringend, die Adobe-Updates vom 1. Juli umgehend einzuspielen und strenge Multi-Faktor-Authentifizierung zu erzwingen. US-Behörden wurden angewiesen, die SimpleHelp-Sicherheitslücke bis zum 7. Juli 2026 zu schließen.
