Bulletin-ID
Sist oppdatert
13. aug. 2026
Sikkerhetsoppdateringer tilgjengelig for Adobe ColdFusion | APSB26-90
|
|
Publiseringsdato |
Prioritet |
|
APSB26-90 |
11. august 2026 |
1 |
Sammendrag
Adobe har utgitt en sikkerhetsoppdatering for ColdFusion versjon 2025 og 2023. Denne oppdateringen løser kritiske og viktige sårbarheter som kan føre til vilkårlig kodeutførelse, rettigheteskalering, omgåelse av sikkerhetsfunksjoner, tjenestenekt for applikasjoner og minneeksponering.
Adobe er ikke klar over noen aktive utnyttelser av noen av problemene som håndteres i denne oppdateringen.
Berørte versjoner
|
Produkt |
Oppdateringsnummer |
Plattform |
|
ColdFusion 2025 |
2025.0.11 og tidligere versjoner |
Alle |
|
ColdFusion 2023 |
2023.0.22 og tidligere versjoner |
Alle |
Løsning
Adobe kategoriserer disse oppdateringene med følgende prioritetsklassifisering og anbefaler at brukerne oppdaterer installasjonene til de nyeste versjonene:
|
Produkt |
Oppdatert versjon |
Plattform |
Prioritet Klassifisering |
Tilgjengelighet |
|---|---|---|---|---|
|
ColdFusion 2025 |
2025.0.12 |
Alle |
1 |
|
|
ColdFusion 2023 |
2023.0.23 |
Alle |
1 |
Notat
Av sikkerhetsgrunner anbefaler vi på det sterkeste at du bruker den nyeste mysql java-kontakten. For mer informasjon om bruken, se: https://helpx.adobe.com/coldfusion/kb/coldfusion-configuring-mysql-jdbc.html
Se den oppdaterte dokumentasjonen for seriefilter for mer informasjon om beskyttelse mot usikre deserialiseringsangrep: https://helpx.adobe.com/coldfusion/kb/coldfusion-serialfilter-file.html
Informasjon om sikkerhetsproblemet
| Sikkerhetsproblemkategori | Sikkerhetsprobleminnvirkning | Alvorlighetsgrad | CVSS grunnscore | CVSS-vektor | CVE-nummer |
Feil nøytralisering av spesialelementer brukt i en OS-kommando ('OS-kommandoinjeksjon') (CWE-78) |
Kjøring av vilkårlig kode |
Kritisk |
10.0 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
CVE-2026-48362 |
Ukorrekt nøytralisering av direktiver i dynamisk evaluert kode ('Eval Injection') (CWE-95) |
Kjøring av vilkårlig kode |
Kritisk |
9.9 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
CVE-2026-48273 |
Feil autorisasjon (CWE-863) |
Tjenestenekt for program |
Kritisk |
9.6 |
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
CVE-2026-71384 |
Cross-site Scripting (XSS) (CWE-79) |
Kjøring av vilkårlig kode |
Kritisk |
8.8 |
CVSS:3.1/AV:A/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H |
CVE-2026-71386 |
Feil inndatavalidering (CWE-20) |
Rettighetsutvidelse |
Kritisk |
8.7 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N |
CVE-2026-21273 |
Feil autorisasjon (CWE-863) |
Kjøring av vilkårlig kode |
Kritisk |
8.8 |
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2026-71387 |
Feil autorisasjon (CWE-863) |
Omgåelse av sikkerhetsfunksjon |
Kritisk |
8.4 |
CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
CVE-2026-71385 |
Bruk av hardkodet kryptografisk nøkkel (CWE-321) |
Omgåelse av sikkerhetsfunksjon |
Kritisk |
8.2 |
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N |
CVE-2026-34635 |
Heapbasert bufferoverflyt (CWE-122) |
Kjøring av vilkårlig kode |
Kritisk |
8.1 |
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
CVE-2026-48440 |
Feil inndatavalidering (CWE-20) |
Omgåelse av sikkerhetsfunksjon |
Kritisk |
8.1 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N |
CVE-2026-21279 |
Feil autorisasjon (CWE-863) |
Rettighetsutvidelse |
Kritisk |
7.8 |
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
CVE-2026-25652 |
Bruk av ødelagt eller risikofylt kryptografisk algoritme (CWE-327) |
Eksponering av minne |
Kritisk |
7.5 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
CVE-2026-48386 |
Feil autorisasjon (CWE-863) |
Omgåelse av sikkerhetsfunksjon |
Viktig |
7.3 |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L |
CVE-2026-71383 |
Feil autorisasjon (CWE-863) |
Tjenestenekt for program |
Viktig |
6.5 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H |
CVE-2026-48375 |
Feil koding eller unnslipping av utdata (CWE-116) |
Omgåelse av sikkerhetsfunksjon |
Viktig |
5.4 |
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L |
CVE-2026-48376 |
Feil inndatavalidering (CWE-20) |
Omgåelse av sikkerhetsfunksjon |
Viktig |
4.9 |
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H |
CVE-2026-48384 |
Notat
Fra og med 11. august 2026 kan Adobe tildele en enkelt CVE-identifikator til internt oppdagede sårbarheter med samme alvorlighetsgrad og CWE-kategori når en utgivelse inkluderer systemiske rettelser.
Anerkjennelser:
AnirudhAnand (a0xnirudh) — CVE-2026-71386
Matan Sandori (matans1) — CVE-2026-71384
Brennan D St. John (brennanstjohn) — CVE-2026-71387
Notat
Adobe anbefaler at du oppdaterer ColdFusion JDK/JRE LTS-versjonen til den nyeste oppdateringsutgivelsen som et sikkerhetstiltak. Nedlastingssiden ColdFusion oppdateres jevnlig for å inkludere de nyeste Java-installasjonsprogrammene for den JDK-versjonen som støttes av installasjonen, i henhold til matrisene nedenfor.
Du finner instruksjoner om hvordan du bruker et eksternt JDK under Endre ColdFusion JVM.
Adobe anbefaler også kunden å anvende innstillingene for sikkerhetskonfigurasjon som beskrevet i ColdFusion sikkerhetsdokumentasjon og se respektive veiledninger om låsing.
Krav for ColdFusion JDK
COLDFUSION 2025 (versjon 2023.0.0.331385) og høyere
For applikasjonsservere
på JEE-installasjoner angir du følgende JVM-flagg, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; " i respektive oppstartsfil avhengig av typen applikasjonsserver som brukes.
Eksempel:
Applikasjonsserveren Apache Tomcat: Rediger JAVA_OPTS i filen Catalina.bat/sh
WebLogic-applikasjonsserver: Rediger JAVA_OPTIONS i filen startWeblogic.cmd
Applikasjonsserveren WildFly/EAP: Rediger JAVA_OPTS i filen standalone.conf
Sett JVM-flaggene på en JEE-installasjon av ColdFusion, ikke på en frittstående installasjon.
COLDFUSION 2023 (versjon 2023.0.0.330468) og høyere
For applikasjonsservere
på JEE-installasjoner angir du følgende JVM-flagg, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**; " i respektive oppstartsfil avhengig av typen applikasjonsserver som brukes.
Eksempel:
Applikasjonsserveren Apache Tomcat: Rediger JAVA_OPTS i filen Catalina.bat/sh
WebLogic-applikasjonsserver: Rediger JAVA_OPTIONS i filen startWeblogic.cmd
Applikasjonsserveren WildFly/EAP: Rediger JAVA_OPTS i filen standalone.conf
Sett JVM-flaggene på en JEE-installasjon av ColdFusion, ikke på en frittstående installasjon.
COLDFUSION 2021 (Versjon 2021.0.0.323925) og nyere
For applikasjonsservere
På JEE-installasjoner angir du følgende JVM-flagg, “-Djdk.serialFilter= !org.mozilla.**;!com.sun.syndication.**;!org.apache.commons.beanutils.**;!org.jgroups.**;!com.sun.rowset.**; !com.mysql.cj.jdbc.interceptors.**;!org.apache.commons.collections.**;"
i respektive oppstartsfil avhengig av typen applikasjonsserver som brukes.
For eksempel:
Apache Tomcat-applikasjonsserver: Rediger JAVA_OPTS i filen Catalina.bat/sh
WebLogic-applikasjonsserver: Rediger JAVA_OPTIONS i filen startWeblogic.cmd
WildFly/EAP-applikasjonsserver: Rediger JAVA_OPTS i filen standalone.conf
Sett JVM-flaggene på en JEE-installasjon av ColdFusion, ikke på en frittstående installasjon.
Hvis du vil ha mer informasjon, kan du se https://helpx.adobe.com/no/security.html eller sende en e-postmelding til PSIRT@adobe.com
