Adobe heeft meerdere beveiligingslekken in ColdFusion gedicht. Het gaat om kwetsbaarheden als Server-Side Request Forgery (SSRF), onjuiste autorisatie, onvoldoende invoervalidatie, code‑injectie, XML External Entity (XXE), ongereguleerde resourceconsumptie en path traversal. In de praktijk kunnen aanvallers hiermee onder meer rechten verhogen, willekeurige code uitvoeren, bestanden zonder beperkingen uploaden, interne services benaderen, geheugeninformatie uitlezen en een denial‑of‑service veroorzaken. De ernst varieert van hoog tot kritiek (sommige met CVSS 10.0). Patchen is dus urgent. (adobe.com)

SSRF springt eruit: via zorgvuldig opgezette verzoeken kan een server interne endpoints aanspreken die normaal niet van buitenaf bereikbaar zijn, bijvoorbeeld API’s achter een firewall of cloud‑metadata‑services. Zo valt netwerksegmentatie te omzeilen en kunnen tokens of configuraties worden buitgemaakt. Adobe koppelt meerdere SSRF‑meldingen aan privilege‑escalatie, wat het risico verder verhoogt. (adobe.com)

Ook path traversal verdient aandacht. In combinatie met ColdFusion’s Remote Development Services (RDS) kan een aanvaller in bepaalde scenario’s bestanden lezen of schrijven buiten de bedoelde mapstructuur. RDS is bedoeld voor ontwikkeltools en hoort niet op productie te draaien; bij installatie met de Production (Secure)‑profiel staat RDS standaard uit. Controleer dat expliciet als je ooit van profiel of configuratie bent gewisseld. (guides.adobe.com)

Context en tijdlijn

• Op 30 juni 2026 bracht Adobe een belangrijke ColdFusion‑update uit (APSB26‑68). Die verhelpt kritieke bugs die konden leiden tot willekeurige code‑uitvoering, privilege‑escalatie, het lezen van bestanden en het omzeilen van beveiligingsmaatregelen. Adobe meldt dat minstens één lek (CVE‑2026‑48282) in beperkte, gerichte aanvallen is misbruikt. (adobe.com)
• In september 2026 volgden aanvullende ColdFusion‑updates (APSB26‑82). (coldfusion.adobe.com)
• Op 13–14 oktober 2026 publiceerde Adobe opnieuw een pakket fixes (APSB26‑144), met onder meer SSRF, onjuiste autorisatie, code‑injectie, XXE en resourceconsumptie. Meerdere issues kregen een kritieke score. (adobe.com)

Dat ColdFusion‑lekken aantrekkelijk zijn voor aanvallers is niet nieuw: de Amerikaanse CISA waarschuwde eerder al voor misbruik van ColdFusion‑kwetsbaarheden in het wild. Dat onderstreept hoe snel criminelen na een patch beschikbaar exploitcode kunnen inzetten tegen niet‑geüpdatete systemen. (cisa.gov)

Wat je nu moet doen

• Update direct naar de nieuwste ColdFusion‑builds die bij APSB26‑144 horen (voor de 2025‑ en 2023‑releases). Volg Adobe’s bulletin voor de exacte versies en prioriteiten. (adobe.com)
• Werk ook je Java/JDK bij naar de laatste ondersteunde update; Adobe benadrukt dit nadrukkelijk in de security‑instructies. (adobe.com)
• Schakel RDS volledig uit op productie, verwijder/of blokkeer waar mogelijk toegang tot de /CFIDE‑paden en beperk toegang tot de ColdFusion Administrator tot specifieke IP‑adressen. (guides.adobe.com)
• Pas de ColdFusion Lockdown Guide toe (Production Secure Profile, sandbox‑security waar passend, harde wachtwoord‑ en TLS‑instellingen). (adobe.com)
• Beperk egress‑verkeer vanaf servers tot strikt noodzakelijke bestemmingen om SSRF‑impact te minimaliseren; overweeg WAF‑regels die interne IP‑bereiken en metadata‑endpoints blokkeren. (Best practice, conform Adobe’s algemene beveilingsaanbevelingen.) (adobe.com)
• Controleer logs op afwijkend verkeer, zoals onverwachte verzoeken naar RDS‑ of CFIDE‑endpoints, en onderzoek ongebruikelijke bestandsschrijfacties. Herzie ook upload‑mappen en rechten. (Algemene forensische en hardening‑richtlijnen.) (adobe.com)

Nederlandse context
Het NCSC verwijst in recente adviezen naar de ColdFusion‑updates van deze zomer en najaar. Organisaties in Nederland die ColdFusion draaien, doen er goed aan hun patch‑proces te versnellen en de hardening‑maatregelen structureel te borgen. (advisories.ncsc.nl)

Kortom: de nieuwe ColdFusion‑updates dichten ernstige gaten die misbruik zonder gebruikersinteractie mogelijk maken. Houd je omgeving actueel, zet productie strak op slot en beperk uitgaand verkeer. Dat verkleint de kans op escalatie aanzienlijk en voorkomt dat een geïsoleerde webserver ineens toegangspoort wordt tot je interne netwerk. (adobe.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.