Betroffene Einrichtungen
Bereich
CVE-2026-48282 beschreibt eine kritische Path-Traversal-Schwachstelle (CVSS 10.0) in Adobe ColdFusion, bei der ein Angreifer durch unzureichende Einschränkung von Dateipfaden auf eingeschränkte Verzeichnisse zugreifen und in der Folge beliebigen Schadcode im Kontext des laufenden Dienstkontos ausführen kann – ohne jegliche Benutzerinteraktion und mit erweitertem Scope. Adobe ColdFusion wird in Gesundheitseinrichtungen mitunter als Plattform für webbasierte Applikationen, Patientenportale oder interne Verwaltungsanwendungen eingesetzt; sofern solche Systeme im Klinikumfeld betrieben werden, besteht das Risiko, dass Angreifer über diese Lücke Zugriff auf klinische Daten, angebundene Systeme oder das interne Netzwerk erlangen. Angesichts des maximalen CVSS-Scores und der voraussetzungslosen Remote-Ausnutzbarkeit ist umgehend zu handeln.
1 Adobe ColdFusion auf eine nicht betroffene Version aktualisieren: Laut Meldung sind ColdFusion 2025.9, 2023.20 und frühere Versionen betroffen – Adobe-Sicherheitsbulletin auf https://helpx.adobe.com/security.html prüfen und den dort bereitgestellten Patch für den jeweiligen Release-Zweig (2025 bzw. 2023) sofort einspielen.
2. Exponierte ColdFusion-Instanzen bis zur Einspielung des Patches durch Netzwerksegmentierung oder temporäre Deaktivierung des öffentlich erreichbaren Dienstes absichern und Firewall-Regeln so einschränken, dass ausschließlich autorisierte Quell-IPs Zugriff erhalten.
3. Protokolle und Zugriffslogfiles der betroffenen ColdFusion-Server auf Anzeichen einer bereits erfolgten Ausnutzung untersuchen (unerwartete Dateizugriffe außerhalb des Webroot, unbekannte Prozesse, lateral movement) und den Vorfall gemäß internem Incident-Response-Plan sowie ggf. nach § 8b BSIG bzw. landesrechtlicher Meldepflicht dokumentieren.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja