Adoben tietoturvatiedote

Hae

Päivitetty viimeksi 24. huhtikuuta 2026

Adobe ColdFusionin tietoturvapäivitykset | APSB26-38

Tiedotteen tunnus	Julkaisupäivä	Prioriteetti
APSB26-38	14.4.2026	1

Yhteenveto

Adobe on julkaissut tietoturvapäivityksiä ColdFusion-versioille 2025 ja 2023. Nämä päivitykset korjaavat kriittisiä ja kohtalaisia haavoittuvuuksia, jotka voivat johtaa mielivaltaisen koodin suorittamiseen, palveluneston käyttöön, mielivaltaiseen järjestelmätiedostojen lukemiseen ja tietoturvaominaisuuksien ohitukseen.

 Adobe ei ole tietoinen, että mitään näissä päivityksissä käsiteltyjä haavoittuvuuksia olisi hyödynnetty käytännössä.

Versiot

Tuote	Päivityksen numero	Ympäristö
ColdFusion 2025	Päivitys 6 ja aiemmat versiot	Kaikki
ColdFusion 2023	Päivitys 18 ja aiemmat versiot	Kaikki

Ratkaisu

Adobe luokittelee päivitykset seuraavan prioriteettiluokituksen mukaisesti ja suosittelee käyttäjiä päivittämään asennuksensa uusimpaan versioon:

Tuote	Päivitetty versio	Ympäristö	Prioriteettiluokitus	Saatavuus
ColdFusion 2025	Päivitys 7	Kaikki	1	Technote-tiedote
ColdFusion 2023	Päivitys 19	Kaikki	1	Technote-tiedote

Huomautus:

Tietoturvasyistä suosittelemme vahvasti käyttämään uusinta mysql-java-liitintä. Lisätietoja sen käytöstä on osoitteessa osoitteessa: https://helpx.adobe.com/fi/coldfusion/kb/coldfusion-configuring-mysql-jdbc.html

Katso päivitetystä sarjasuodattimen dokumentaatiosta lisätietoja suojautumisesta suojaamattomia deserialisointihyökkäyksiä vastaan: https://helpx.adobe.com/fi/coldfusion/kb/coldfusion-serialfilter-file.html

Lisätietoja haavoittuvuuksista

Haavoittuvuusluokka	Haavoittuvuuden vaikutus	Vakavuus	CVSS-peruspisteet	CVSS-vektori	CVE-numerot
Polun nimen virheellinen rajoittaminen kiellettyyn hakemistoon (”Polun vaihtuminen”) (CWE-22)	Tietoturvaominaisuuden ohitus	Kriittinen	7.7	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H	CVE-2026-34619
Virheellinen syötteen tarkistus (CWE-20)	Mielivaltaisen koodin suoritus	Kriittinen	9,3	CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N	CVE-2026-27304
Polun nimen virheellinen rajoittaminen kiellettyyn hakemistoon (”Polun vaihtuminen”) (CWE-22)	Mielivaltainen tiedostojärjestelmän luku	Kriittinen	8.6	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N	CVE-2026-27305
Virheellinen syötteen tarkistus (CWE-20)	Tietoturvaominaisuuden ohitus	Kriittinen	7.5	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N	CVE-2026-27282
Virheellinen syötteen tarkistus (CWE-20)	Mielivaltaisen koodin suoritus	Kriittinen	8.4	CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H	CVE-2026-27306
Resurssien hallitsematon kulutus (CWE-400)	Sovelluksen palvelunesto	Kohtalainen	2.4	CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:L	CVE-2026-27307
Resurssien hallitsematon kulutus (CWE-400)	Sovelluksen palvelunesto	Kohtalainen	2.4	CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:L	CVE-2026-27308

Kiitokset:

Adobe haluaa kiittää seuraavia tutkijoita tästä ongelmasta ilmoittamisesta ja yhteistyöstä Adoben kanssa sen asiakkaiden suojaamisessa:   

AnirudhAnand (a0xnirudh) -- CVE-2026-27304
nbxiglk -- CVE-2026-27306
Jonathan Lein of TrendAI Research -- CVE-2026-27282, CVE-2026-34619, CVE-2026-27305
Idris_Tester092004 (tester092004) -- CVE-2026-27307, CVE-2026-27308

HUOMAUTUS: Adobella on HackerOnessa julkinen buginmetsästysohjelma. Jos olet kiinnostunut työskentelemään Adoben kanssa ulkopuolisena tietoturvatutkijana, tutustu ohjelmaan täällä: https://hackerone.com/adobe.

Huomautus:

Adobe suosittelee tietoturvatoimena ColdFusion JDK/JRE LTS -version päivittämistä uusimpaan päivitysversioon. ColdFusionin lataussivu päivitetään säännöllisesti siten, että se sisältää uusimmat Java-asennusohjelmat asennuksesi tukemaa JDK-versiota varten alla olevien taulukoiden mukaisesti.

Ulkoisen JDK:n käyttöä koskevia ohjeita on artikkelissa ColdFusionin JVM:n vaihto.

Adobe suosittelee myös, että kaikki ottavat käyttöön ColdFusionin tietoturvadokumentaatiossa esitellyt tietoturva-asetukset ja tutustuvat vastaaviin lukitusoppaisiin.   

ColdFusion JDK -vaatimus

COLDFUSION 2025 (versio 2023.0.0.331385) ja uudemmat
Sovelluspalvelimia varten

EE-asennuksissa aseta seuraava JVM-lippu: ”-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; ” vastaavassa käynnistystiedostossa käytetyn sovelluspalvelimen tyypin mukaan.

Esimerkiksi:
Apache Tomcat -sovelluspalvelin: muokkaa kohdetta JAVA_OPTS tiedostossa ”Catalina.bat/sh”
WebLogic-sovelluspalvelin: muokkaa kohdetta JAVA_OPTIONS tiedostossa ”startWeblogic.cmd”
WildFly/EAP-sovelluspalvelin: muokkaa kohdetta JAVA_OPTS tiedostossa ”standalone.conf”
Aseta JVM-liput ColdFusionin JEE-asennuksessa, ei erillisasennuksessa.

COLDFUSION 2023 (versio 2023.0.0.330468) ja uudemmat
Sovelluspalvelimia varten

EE-asennuksissa aseta seuraava JVM-lippu: ”-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;;” vastaavassa käynnistystiedostossa käytetyn sovelluspalvelimen tyypin mukaan.

COLDFUSION 2021 (versiot 2021.0.0.323925) ja uudemmat

Sovelluspalvelimia varten  

JEE-asennuksissa aseta seuraava JVM-lippu: ”-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;”

vastaavassa käynnistystiedostossa käytetyn sovelluspalvelimen tyypin mukaan.

Esimerkiksi:  

Muokkaa Apache Tomcat -sovelluspalvelimella JAVA_OPTS-kohdetta ”Catalina.bat/sh”-tiedostossa  

Muokkaa WebLogic-sovelluspalvelimella JAVA_OPTIONS-kohdetta ”startWeblogic.cmd”-tiedostossa  

Muokkaa WildFly/EAP-sovelluspalvelimella JAVA_OPTS-kohdetta ”standalone.conf”-tiedostossa  

Määritä JVM-liput ColdFusionin JEE-asennuksessa, mutta ei erillisasennuksessa.  

Saat lisätietoja siirtymällä osoitteeseen https://helpx.adobe.com/fi/security.html tai lähettämällä sähköpostia osoitteeseen PSIRT@adobe.com

Pyydä apua nopeammin ja helpommin

Oletko uusi käyttäjä?