Adobe heeft 32 kwetsbaarheden verholpen in ColdFusion, de applicatieserver die bedrijven en overheidsinstellingen gebruiken voor dynamische websites en intranetapplicaties. Het NCSC meldt de update in advisory NCSC-2026-0435, gepubliceerd op 16 oktober 2026. Adobe bracht de patches uit voor de twee actief ondersteunde releases: ColdFusion 2025 en ColdFusion 2023.
De zwaarste fouten zijn twee kwetsbaarheden met de maximale CVSS-score van 10.0. CVE-2026-105899 is een ongecontroleerde upload van bestanden met een gevaarlijk type, waarmee een aanvaller zonder inloggegevens willekeurige code op de server kan laten uitvoeren. CVE-2026-106622 is een Server-Side Request Forgery (SSRF) waarmee een aanvaller netwerksegmentatie omzeilt, interne systemen benadert en zo rechten weet te verhogen. Ook CVE-2026-105903 (code-injectie, score 9.9), CVE-2026-106612 (incorrecte autorisatie, 9.9) en CVE-2026-106621 (code-injectie die tot privilege-escalatie leidt, 9.1) scoren vrijwel maximaal. Apart vermeldenswaardig is CVE-2026-90530 (9.3): een path traversal-kwetsbaarheid in de Remote Development Services (RDS)-functionaliteit, waarmee een aanvaller zonder gebruikersinteractie willekeurige bestanden kan uitlezen. RDS staat standaard uitgeschakeld in het Production Secure Profile van ColdFusion, dus organisaties die dat profiel gebruiken lopen via deze specifieke fout minder risico.
De overige kwetsbaarheden omvatten onder meer XML External Entity-injectie, waarmee gevoelige geheugeninformatie kan uitlekken, en fouten die tot denial-of-service leiden, zoals CVE-2026-75996 (7.5), waarbij oncontroleerbaar resourcegebruik een ColdFusion-omgeving kan laten vastlopen. Adobe zegt geen aanwijzingen te hebben dat een van de 32 fouten al actief wordt misbruikt. ColdFusion 2025 is kwetsbaar tot en met versie 2025.0.13 en gepatcht in 2025.0.14; ColdFusion 2023 is kwetsbaar tot en met 2023.0.25 en gepatcht in 2023.0.26.
Organisaties die ColdFusion gebruiken, vaak beheerd door een eigen ontwikkelteam of een extern bureau, doen er goed aan de update met voorrang te plannen. Controleer eerst of Remote Development Services uitstaat, want dat voorkomt meteen een van de ernstigere routes binnen deze update. Werk daarna bij naar 2025.0.14 of 2023.0.26, afhankelijk van de gebruikte lijn, en beperk de bereikbaarheid van de ColdFusion-beheerinterface tot een vertrouwd netwerk. Wie de patch niet direct kan doorvoeren, doet er goed aan uitgaand verkeer vanaf de server te monitoren, want de SSRF-fouten in deze update zijn juist bedoeld om interne systemen te bereiken.
Bron: NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Draait u ColdFusion voor een website, portaal of maatwerkapplicatie? Controleer eerst of Remote Development Services (RDS) uitstaat en werk daarna bij naar 2025.0.14 of 2023.0.26. De combinatie van CVSS 10.0 en een ongeauthenticeerde aanvalsvector betekent dat een kwetsbare server zonder inloggegevens is over te nemen.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.