Adobe heeft ernstige beveiligingslekken in ColdFusion gedicht. Met de updates voor ColdFusion 2025 (Update 9) en ColdFusion 2023 (Update 20) zijn kwetsbaarheden opgelost die konden leiden tot onder meer willekeurige code-uitvoering, bestandslezing/-schrijfrechten en het omzeilen van beveiligingsmaatregelen. Op 30 juni 2026 volgden bovendien extra patches (ColdFusion 2025 Update 10 en 2023 Update 21) met aanvullende fixes. Kort gezegd: update zo snel mogelijk als je ColdFusion draait. (helpx.adobe.com)

Wat er precies is verholpen

• Onbeperkte upload van gevaarlijke bestandstypen: aanvallers konden schadelijke bestanden plaatsen en uitvoeren. In de jongste ronde zijn meerdere uploadbugs met maximale ernst (CVSS 10.0) gepatcht. (helpx.adobe.com)
• Improper input validation: onvoldoende controle op invoer maakte code‑uitvoering mogelijk, vaak zonder interactie van een gebruiker. (helpx.adobe.com)
• Path traversal: via gemanipuleerde paden konden bestanden buiten de bedoelde directories worden gelezen of aangepast. (helpx.adobe.com)
• Reflected XSS: onvoldoende geschoonde URL‑parameters konden leiden tot het uitvoeren van kwaadaardige scripts in de browser. (helpx.adobe.com)
• SSRF: een server kon worden misleid om verzoeken naar interne of anderszins afgeschermde bronnen te sturen. (helpx.adobe.com)

Impact en risico

• Zonder snelle patching kan een aanvaller op afstand code uitvoeren, bestanden lezen/schrijven en beveiliging omzeilen — vaak zonder enige gebruikersactie. Adobe meldt voor de nu gepatchte issues geen bekende actieve exploitatie, maar de potentiële impact is hoog. (helpx.adobe.com)
• ColdFusion is in het verleden vaker doelwit geweest van aanvallen. Overheidsdiensten waarschuwden eerder dat ColdFusion‑lekken actief werden misbruikt, wat het belang van snel updaten onderstreept. (cisa.gov)

Wie is geraakt

• ColdFusion 2025: alle installaties op Update 9 en eerder (30 juni 2026 kwam Update 10 uit). (helpx.adobe.com)
• ColdFusion 2023: alle installaties op Update 20 en eerder (30 juni 2026 kwam Update 21 uit). (helpx.adobe.com)

Aanbevolen actie

• Update direct naar de nieuwste beschikbare versie: minimaal ColdFusion 2025 Update 10 of ColdFusion 2023 Update 21 (uitgebracht op 30 juni 2026). (helpx.adobe.com)
• Volg de Lockdown Guides en security‑configuraties van Adobe (o.a. beperking van beheerinterfaces, strengere rechten, sandboxing). (helpx.adobe.com)
• Werk de JDK/JRE bij tot een ondersteunde, actuele LTS‑release en zet waar nodig de aanbevolen JVM‑serialFilter in om onveilige deserialisatie te blokkeren. (helpx.adobe.com)
• Harden je uploadpaden: blokkeer uitvoerbare extensies, valideer mimetypes én inhoud, en sla uploads op buiten web‑root. Een web‑applicatiefirewall met regels voor upload/endpoints en XSS helpt misbruik afvangen.
• Beperk uitgaande serververkeer (egress filtering) om SSRF‑schade te beperken; is externe toegang niet nodig, sluit deze dan af.
• Monitor actief: controleer logs op onverwachte bestandswijzigingen, verdachte HTTP‑parameters en interne uitgaande requests.

Nog goed om te weten

• De juni‑updates bevatten naast securityfixes ook component‑upgrades (zoals Tomcat), wat stabiliteit en compatibiliteit ten goede komt. Plan daarom altijd even een testronde in je acceptatieomgeving voordat je productie bijwerkt. (guides.adobe.com)

Samengevat: de kwetsbaarheden raken meerdere generaties ColdFusion en openen de deur naar RCE, bestandsmanipulatie en het omzeilen van beveiliging. Door per direct te updaten naar de meest recente release en de aanbevolen hardeningmaatregelen toe te passen, breng je het risico snel en substantieel terug. (helpx.adobe.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.