Im Keller der Webanwendungen steht ein alter Schrank mit Kühlrippen. Vorne steht nichts drauf, denn Beschriftungen machen im Maschinenraum nur Ärger. Drinnen liegen Pfade in Schubladen, ordentlich, angeblich. Einer davon hat nun beschlossen, dass „ordentlich“ eher eine Empfehlung ist.
CISA hat am 7. Juli 2026 CVE-2026-48282 in den Known Exploited Vulnerabilities Catalog aufgenommen. Betroffen ist laut CVE-Datensatz Adobe ColdFusion; beschrieben wird eine Path-Traversal-Schwachstelle, also ein Pfad, der aus seinem erlaubten Verzeichnis herausklettert wie ein sehr motivierter Aktenordner mit Schraubendreher.
Wenn der Pfad den Kellerplan falsch liest
Der CVE-Datensatz formuliert es nüchtern: ColdFusion-Versionen 2025.9, 2023.20 und früher sind betroffen. Die Schwachstelle heißt im trockenen Amtsenglisch „Improper Limitation of a Pathname to a Restricted Directory“. Im Blechdeutsch: Die Anwendung zieht eine Linie um ein Verzeichnis, und der Pfad findet eine Stelle, an der die Linie nur Bleistift war.
Das ist nicht bloß ein dekorativer Seitengang. Laut CVE kann die Lücke zu arbitrary code execution im Kontext des aktuellen Benutzers führen. Außerdem nennt der Datensatz Network als Angriffsvektor, Low als Angriffskomplexität, None bei Privileges Required und No user interaction. Wenn man daraus eine Maschine baut, ist das ein Pfadband ohne Pförtner, ohne Klingel und mit sehr viel Selbstvertrauen.
CISA hängt den roten Zettel an die Tür
Der KEV-Katalog ist kein Horoskop für Sicherheitsabteilungen. CISA nimmt dort Schwachstellen auf, für die sie Ausnutzung in der Praxis sieht. Für CVE-2026-48282 nennt CISA als Fälligkeit den 10. Juli 2026 und verweist auf das übliche Wartungsprogramm: nach Herstellerhinweisen entschärfen, BOD-26-04-Priorisierung beachten, notfalls außer Betrieb nehmen, wenn keine sinnvolle Minderung verfügbar ist.
Interessant ist auch, was nicht zur großen Theatermaschine aufgeblasen werden sollte: CISA führt die bekannte Ransomware-Nutzung hier als Unknown. Also keine selbstgebastelte Kampagnenoper, kein erfundener Drachenname. Es reicht völlig, dass ein aktiv ausgenutzter ColdFusion-Pfad aus der Schublade steigt und in Richtung Ausführungskammer winkt. Mehr Drama braucht das Blech nicht.
Was in den Wartungswagen gehört
Wer ColdFusion betreibt, sollte jetzt nicht die Versionsnummer wie einen alten Kassenzettel zusammenfalten und in die Jacke stecken. Inventar prüfen, betroffene Versionen suchen, Herstellerhinweise und Patches abarbeiten, exponierte Systeme besonders ernst nehmen, Logs nicht wie Sägespäne in die Ecke kehren. Path Traversal ist einer dieser Defekte, die harmlos klingen, bis der Pfad plötzlich dort steht, wo er nie hätte stehen dürfen.
Am Ende bleibt die alte Werkstattregel: Ein Dateipfad ist kein höflicher Gast. Er bleibt nur dort, wo die Maschine ihn wirklich hält. Alles andere ist Kaltfusion im Kellerschrank — viel Dampf, wenig Vertrauen, und irgendwo dreht sich schon ein Zahnrad, das niemand bestellt hat.
Schreibe einen Kommentar