ColdFusion 2021 ohne Sicherheits-Patches: Ihre Optionen

Technisch ja, die Anwendung läuft weiter. Für ColdFusion 2021 gibt es laut Adobe-Ankündigung zum Support-Ende (öffnet in einem neuen Fenster) seit dem 10.11.2025 keine Sicherheits-Patches mehr, der erweiterte Support ist bis zum 10.11.2026 befristet (Stand: 2026-10). Wie hoch das Risiko ist, hängt davon ab, ob Anwendung und Administrator aus dem Internet erreichbar sind.

Als Übergang ist Weiterbetreiben vertretbar, solange der Wechsel vorbereitet wird: Administrator und RDS sperren, eine WAF mit Regeln für Ihre Anwendung davorsetzen, das Netz trennen. Das senkt das Risiko, beseitigt es aber nicht. Als Dauerzustand empfehlen wir es nicht, denn Auditoren, Versicherer und Kunden fragen häufig nach unterstützten Versionen.

Allein nicht. Eine WAF filtert typische Angriffe vor der Anwendung und verschafft Zeit, schließt aber keine Lücke im Code. Deshalb verbinden wir sie mit dem Beheben bekannter Schwachstellen, einer Segmentierung des Netzes und einem Administrationszugang nur per VPN.

Eine WAF mit Regeln für Ihre Anwendung löst weniger Fehlalarme aus und schützt realistischer als die Standardkonfiguration. Lässt sich der Code nicht schnell ändern, ist eine WAF mit Isolation eine Brücke bis zum Update. Das Risiko sinkt dann, ist aber nicht beseitigt.

Am meisten hängt am Code: ob und wie weit er in der neuen Version läuft. Zwischen ColdFusion-Versionen ändern manche Funktionen und Tags ihr Verhalten oder entfallen, dann muss der Code umgebaut werden. Am aufwendigsten ist es, wenn die Anwendung auf einem Framework aufbaut, das keine Updates mehr bekommt und die neue Version nicht unterstützt: Dann kommt die Anpassung oder der Ersatz des Frameworks dazu. Hinzu kommen eigene Java-Bibliotheken und Einstellungen des Servers. Dasselbe gilt für ein Update von Lucee.

Ausgehend von ColdFusion 2021 kommen 2023 (Core-Support bis 16.05.2028) und 2025 (laut Adobe-Matrix bis 26.02.2030) als Ziel infrage. Dazu kommen Lizenz, Tests und der Umzug der Einstellungen. Wie viele Arbeitstage das bei Ihnen sind, sagen wir nach dem ColdFusion-Check, nicht vorher.

Das lässt sich nicht pauschal sagen. Lucee setzt CFML um, aber nicht jede Funktion verhält sich wie bei Adobe ColdFusion. Typische Stolpersteine sind Adobe-spezifische Tags und Funktionen sowie die PDF-Ausgabe. Hinzu kommen Einstellungen aus dem ColdFusion Administrator, etwa Datenquellen, geplante Tasks und der Mailversand.

Unsere Ingenieure haben Anwendungen von Adobe ColdFusion zu Lucee migriert und planen Prüfungen und Tests von Anfang an ein. Wie gut Ihr Code zu Lucee passt, prüfen wir im Legacy-Review oder in der ersten Phase der Migration, bevor Sie entscheiden. Mehr dazu auf der Seite ColdFusion und Lucee.

Nein. Läuft das alte System, stellen wir seine Logik als API bereit und schließen einmalig bekannte Lücken. Die Funktion soll dabei erhalten bleiben, Vergleichstests prüfen das. Das Neue bauen wir daneben im neuen Stack, der diese API nutzt.

Ein Neuschreiben lohnt sich selten. Es kommt infrage, wenn das Framework nicht mehr gepflegt wird, es keine Tests gibt und sich die Geschäftsregeln aufschreiben lassen. Ob das bei Ihnen zutrifft, klärt der Legacy-Review.

Eine erste Antwort erhalten Sie innerhalb eines Werktags. Wann wir mit der Arbeit beginnen, hängt von der aktuellen Auslastung und vom Umfang ab. Das sagen wir Ihnen im Erstgespräch verbindlich. Ist es dringend, beginnt die 48-Stunden-Einschätzung, sobald wir Zugriff auf das System haben.