CVE-2026-48273: Kritisk fejl i Adobe ColdFusion

CVE-2026-48273 er en sårbarhed i Adobe ColdFusion, en serverplatform til at bygge og køre webapplikationer. Fejlen kaldes eval-injektion og betyder, at applikationen kører kode, der bliver bygget dynamisk ud fra data, uden ordentligt at rense den for skadelige kommandoer. En angriber, der allerede har et lavt rettighedsniveau i systemet, kan indsætte sin egen kode i det, der bliver kørt, og dermed få den til at udføre, hvad angriberen bestemmer. Fejlen kræver ingen handling fra en bruger og kan udnyttes over netværket.

Sårbarheden rammer virksomheder og kommuner, der kører Adobe ColdFusion som applikationsserver, typisk til webportaler, sagsbehandlingssystemer eller integrationer mod andre fagsystemer. NVD-data angiver ikke konkrete versionsnumre for denne CVE, så I skal tjekke jeres ColdFusion-installation mod Adobes eget sikkerhedsbulletin for at se, om jeres version er ramt. Alle miljøer, hvor en bruger med begrænsede rettigheder kan nå ColdFusion-serveren, bør betragtes som udsatte, indtil det er afklaret.

En angriber, der udnytter fejlen, kan køre kode i konteksten af den bruger, ColdFusion-processen kører som. I praksis betyder det, at angriberen kan læse, ændre eller slette data i applikationen, installere skadelig kode på serveren eller bruge serveren som springbræt videre ind i jeres netværk. Fordi CVSS-vektoren markerer ‘scope changed’, kan konsekvenserne strække sig ud over selve ColdFusion-komponenten og påvirke andre systemer, der er forbundet til serveren.

Sårbarheden har en CVSS-score på 9,9 ud af 10, hvilket er kritisk. Den kan udnyttes over netværket uden brugerinteraktion, og angrebskompleksiteten er lav, hvilket gør den relativt let at udnytte teknisk. Der kræves dog et lavt rettighedsniveau i systemet på forhånd, så det er ikke en helt anonym angrebsvej. Konsekvensen ved udnyttelse er fuld kompromittering af fortrolighed, integritet og tilgængelighed. NVD-data peger ikke på aktiv udnyttelse i skarpt miljø på offentliggørelsesdatoen, men den høje score og lave kompleksitet betyder, at det kan ændre sig hurtigt.

Følgende handlinger bør gennemføres i denne rækkefølge:

1. Installer Adobes officielle sikkerhedsopdatering til ColdFusion, så snart den er tilgængelig for jeres version. Det er den handling, der lukker hullet.
2. Undersøg, hvilken version af ColdFusion jeres organisation kører, og sammenhold den med Adobes sikkerhedsbulletin for CVE-2026-48273.
3. Begræns netværksadgangen til ColdFusion-serveren, så kun nødvendige systemer og brugere kan nå den, mens opdateringen forberedes.
4. Gennemgå logfiler for uventet aktivitet, herunder ukendte kodeeksekveringer eller mistænkelige brugerhandlinger på ColdFusion-serveren.
5. Fjern eller begræns lavt-privilegerede konti, der ikke er strengt nødvendige, indtil opdateringen er gennemført.
6. Kontakt ekstern sikkerhedsrådgivning, hvis I ikke har ressourcer til selv at verificere version, teste opdateringen eller undersøge logfiler.