Adobe 安全公告

搜索

上次更新日期： 2026年1月21日

Adobe ColdFusion 安全更新 | APSB26-12

公告 ID	发布日期	优先级
APSB26-12	2026 年 1 月 13 日	1

摘要

Adobe 已发布 ColdFusion 版本 2025 和 2023 的安全更新。这些依赖项更新解决了可能导致任意代码执行的重要漏洞。

受影响的版本

产品	更新编号	平台
ColdFusion 2025	更新 5 及更早版本	全部
ColdFusion 2023	更新 17 及更早版本	全部

解决方案

Adobe 按以下优先级对这些更新进行分类，并建议用户将其安装更新至最新版本：

产品	更新版本	平台	优先级	可用性
ColdFusion 2025	更新 6	全部	1	技术说明
ColdFusion 2023	更新 18	全部	1	技术说明

注意:

出于安全考虑，我们强烈建议使用最新的 mysql java 连接器。有关其使用的更多信息，请参阅： https://helpx.adobe.com/cn/coldfusion/kb/coldfusion-configuring-mysql-jdbc.html

有关防范不安全反序列化攻击的更多详细信息，请参阅更新的序列筛选器文档： https://helpx.adobe.com/cn/coldfusion/kb/coldfusion-serialfilter-file.html

依赖项更新

CVE 编号	依赖项	漏洞影响	受影响的版本
CVE-2025-66516	Apache Tika	任意代码执行	更新 5 及更早版本更新 17 及更早版本

有关更多信息，请参阅： https://lists.apache.org/thread/s5x3k93nhbkqzztp1olxotoyjpdlps9k

致谢：

Adobe 感谢以下研究人员报告此问题并与 Adobe 合作帮助保护我们的客户：

Brian Reilly (reillyb) -- CVE-2025-61808、CVE-2025-61809
Nhien Pham (nhienit2010) -- CVE-2025-61812、CVE-2025-61822、CVE-2025-61823
nbxiglk -- CVE-2025-61810、CVE-2025-61811、CVE-2025-61813、CVE-2025-61821、CVE-2025-61830
Karol Mazurek (cr1m5on) -- CVE-2025-64897
bytehacker_sg -- CVE-2025-64898

注意：Adobe 与 HackerOne 合作开展公共错误赏金计划。如果您有兴趣作为外部安全研究人员与 Adobe 合作，请查看 https://hackerone.com/adobe

注意:

Adobe 建议将您的 ColdFusion JDK/JRE LTS 版本更新到最新更新版本，这是一种安全做法。coldfusion 下载页面会定期更新，包含适用于您安装所支持的 JDK 版本的最新 Java 安装程序，具体请参见下面的矩阵。

有关如何使用外部 JDK 的说明，请查看更改 ColdFusion JVM。

Adobe 还建议应用 ColdFusion 安全文档中包含的安全配置设置，并查看相应的锁定指南。 

ColdFusion JDK 要求

COLDFUSION 2025（版本 2023.0.0.331385）及更高版本
对于应用程序服务器

在 JEE 安装上，设置以下 JVM 标志“-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndicate.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; ” 在相应的启动文件中，具体取决于正在使用的应用程序服务器的类型。

例如：
Apache Tomcat 应用服务器：在“Catalina.bat/sh”文件中编辑 JAVA_OPTS
WebLogic 应用服务器：在“startWeblogic.cmd”文件中编辑 JAVA_OPTIONS
WildFly/EAP 应用服务器：在“standalone.conf”文件中编辑 JAVA_OPTS
在虚拟机上设置 JVM 标志ColdFusion 的 JEE 安装，而不是独立安装。

COLDFUSION 2023（版本 2023.0.0.330468）及更高版本
对于应用程序服务器

在 JEE 安装上，设置以下 JVM 标志：“-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndicate.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;”在各自的启动文件中，具体取决于启动文件的类型正在使用的应用程序服务器。

有关更多信息，请访问 https://helpx.adobe.com/cn/security.html，或发送电子邮件至 PSIRT@adobe.com
\n

更快、更轻松地获得帮助

新用户？