CVE-2026-48321: Kritisk adgangsfejl i Adobe ColdFusion

CVE-2026-48321 er en sårbarhed i Adobe ColdFusion, som er en serverplatform til at bygge og køre webapplikationer. Fejlen skyldes forkert adgangskontrol, det vil sige at systemet ikke tjekker rettigheder korrekt, når en bruger eller proces forsøger at få adgang til data eller funktioner. En angriber, der befinder sig på samme netværk som ColdFusion-serveren, kan udnytte fejlen til at hæve sine rettigheder og få uautoriseret læse- og skriveadgang uden at logge ind eller have gyldige adgangskoder. Fordi fejlens omfang er markeret som ‘ændret’, kan konsekvensen sprede sig til andre dele af systemet end selve ColdFusion-komponenten.

Sårbarheden rammer virksomheder og kommuner, der driver Adobe ColdFusion-servere, typisk til intranetløsninger, kundeportaler eller sagsbehandlingssystemer. NVD-data angiver ikke de præcise ramte versionsnumre, så it-afdelingen bør tjekke Adobes egen sikkerhedsbulletin for den installerede version. Særligt udsatte er servere, der deler netværkssegment med andre enheder, for eksempel via samme VLAN, gæstenetværk eller trådløst netværk, fordi angriberen skal have netværksmæssig adgang, men ikke behøver en brugerkonto.

En angriber på samme netværk kan uden login læse fortrolige data og ændre indhold i ColdFusion-applikationen, for eksempel kundedata, sagsakter eller konfigurationsfiler. Fordi fejlen giver skriveadgang, kan angriberen også oprette nye administratorkonti eller ændre eksisterende brugerrettigheder og dermed sikre sig fortsat adgang. Sårbarheden påvirker ikke systemets tilgængelighed, så serveren vil typisk fortsætte med at køre uden synlige driftsproblemer, hvilket gør angrebet sværere at opdage.

CVSS-scoren er 9,3 ud af 10, hvilket er kritisk. Angrebet kræver ikke login (PR:N) og ingen brugerhandling (UI:N), men angriberen skal have adgang til det samme netværkssegment som serveren (AV:A, ikke fra det åbne internet). Angrebskompleksiteten er lav, så en angriber med netværksadgang kan udnytte fejlen uden særlige forudsætninger. Konsekvensen er fuld fortrolighed og integritet i høj grad, mens tilgængeligheden ikke påvirkes. Der er på offentliggørelsesdatoen ingen oplysninger om aktiv udnyttelse eller offentligt tilgængelig kode til at udnytte fejlen.

Følg disse trin for at lukke hullet og begrænse risikoen i mellemtiden:

1. Installer den sikkerhedsopdatering, Adobe har udgivet til ColdFusion, på alle servere med det samme.
2. Tjek Adobes sikkerhedsbulletin for at finde den præcise version, jeres ColdFusion-installation skal opdateres til.
3. Gennemgå netværkssegmenteringen omkring ColdFusion-serveren, og fjern unødig adgang fra gæstenetværk, trådløse net eller andre VLAN’er, indtil opdateringen er installeret.
4. Kontrollér adgangslogs for uautoriserede rettighedsændringer eller nye administratorkonti, der er oprettet efter offentliggørelsesdatoen.
5. Skift adgangskoder for administratorkonti på ColdFusion-serveren som en ekstra forholdsregel.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke har mulighed for at opdatere med det samme, eller hvis I finder tegn på uautoriseret adgang.