Für ColdFusion 2021 gibt es laut Adobe seit dem 10.11.2025 keine Sicherheits-Patches mehr. Wir vergleichen vier Wege: bleiben und absichern, aktualisieren, zu Lucee wechseln oder schrittweise ablösen, mit Terminen und Risiken (Stand: 2026-10).
Adobe ColdFusion: Support-Ende nach Version, mit Quellen
Welche Version von Adobe ColdFusion erhält noch Sicherheits-Updates? Die Zeitleiste nennt die Termine für ColdFusion 2018 bis 2025 mit Quelle (Stand: 2026-10). Dazu kommen die Sicherheitslage und eine Prüfliste für Betreiber.
- Alle Termine mit Quelle, Stand: 2026-10
- ColdFusion und Lucee seit 2015 in Produktivsystemen
Veröffentlicht: 2026-10-26 · Stand: 2026-10 · Redaktion Prownex
Was die Zeitleiste zeigt und wie Sie sie lesen
Laut Adobe-Matrix gilt der Core-Support für jede ColdFusion-Version fünf Jahre. Bei ColdFusion 2018, 2021 und 2023 schließt sich ein Jahr erweiterter Support an, bei ColdFusion 2025 nennt die Matrix keinen. Der erweiterte Support von ColdFusion 2021 enthält laut Adobe keine Sicherheits-Patches und Hotfixes (Stand: 2026-10). Sein Core-Support endete am 10.11.2025, der erweiterte Support ist bis zum 10.11.2026 befristet. ColdFusion 2018 und älter hat keinen Support mehr, ColdFusion 2023 und 2025 werden noch gepflegt.
Die Zeitleiste ist nach Datum geordnet, jede Zeile nennt eine Version und ihre Quelle. Ein Datum in der Vergangenheit beschreibt einen Zustand und kein Abschaltdatum: Die Anwendung läuft weiter, für neu entdeckte Lücken gibt es aber keinen Patch.
Die Version Ihrer Installation zeigt der ColdFusion Administrator unter System Information. Im Code steht sie in der Variablen server.coldfusion.productversion.
Lucee hat eine eigene Übersicht: Lucee: Support-Ende im Überblick. Was Lucee ist, erklärt der Artikel Was ist Lucee?.
Support-Termine von Adobe ColdFusion
| Datum | Ereignis | Quelle |
|---|---|---|
| 2023-07-13 | Adobe ColdFusion 2018: Ende des Core-Supports. | helpx.adobe.com (öffnet in einem neuen Fenster) |
| 2024-07-13 | Adobe ColdFusion 2018: Ende des erweiterten Supports. | helpx.adobe.com (öffnet in einem neuen Fenster) |
| 2025-11-10 | Adobe ColdFusion 2021: Ende des Core-Supports. | helpx.adobe.com (öffnet in einem neuen Fenster) |
| 2026-06-30 | Adobe veröffentlicht das Sicherheitsbulletin APSB26-68 mit Priorität 1. Patches gibt es nur für ColdFusion 2025 (Update 10) und ColdFusion 2023 (Update 21). Laut Adobe wurde CVE-2026-48282 in begrenzten Angriffen ausgenutzt. | helpx.adobe.com (öffnet in einem neuen Fenster) |
| 2026-11-10 | Adobe ColdFusion 2021: Ende des erweiterten Supports. Er enthält laut Adobe keine Sicherheits-Patches und Hotfixes. | coldfusion.adobe.com (öffnet in einem neuen Fenster) |
| 2028-05-16 | Adobe ColdFusion 2023: Ende des Core-Supports. | helpx.adobe.com (öffnet in einem neuen Fenster) |
| 2029-05-16 | Adobe ColdFusion 2023: Ende des erweiterten Supports. | helpx.adobe.com (öffnet in einem neuen Fenster) |
| 2030-02-26 | Adobe ColdFusion 2025: Ende des Core-Supports. Erweiterten Support weist die Adobe-Matrix für diese Version nicht aus. | helpx.adobe.com (öffnet in einem neuen Fenster) |
Was das Support-Ende für Betreiber bedeutet
Ein Support-Ende ist kein Abschaltdatum. Die Anwendung läuft weiter, aber neu entdeckte Sicherheitslücken bleiben offen. Was das für Sie heißt, hängt von der Version ab (Stand: 2026-10):
- ColdFusion 2018 und älter: Es gibt keine Sicherheits-Patches mehr. Update oder Migration stehen an, bis dahin bleibt nur die Absicherung des Umfelds.
- ColdFusion 2021: Der erweiterte Support enthält laut Adobe keine Sicherheits-Patches und ist bis zum 10.11.2026 befristet. Wer die Version weiterbetreibt, braucht einen Plan für die Zeit danach.
- ColdFusion 2023 und 2025: Beide erhalten Sicherheits-Updates.
Mit dem Bulletin APSB26-68 hat Adobe Updates nur für ColdFusion 2025 und 2023 veröffentlicht. Betroffen sind laut Adobe ColdFusion 2025 bis Update 9 und ColdFusion 2023 bis Update 20. CVE-2026-48282 wurde laut Adobe bereits in begrenzten Angriffen ausgenutzt. Zu ColdFusion 2021 enthält das Bulletin weder ein Update noch eine Aussage, ob die Version betroffen ist.
Für Adobe ColdFusion wie für Lucee gilt: Entscheidend sind eine unterstützte Version, ein Administrator ohne Zugang aus dem Internet und regelmäßige Updates.
Das sollten Sie jetzt prüfen:
- Welche Version und welcher Patch-Stand läuft, laut Administrator unter System Information?
- Sind Administrator und RDS (der Fernzugriff für Entwicklungswerkzeuge) aus dem Internet erreichbar?
- Welche Java-Version läuft darunter, und unterstützt sie Ihre Zielversion?
- Gibt es ein Backup, dessen Wiederherstellung getestet ist, und eine Testumgebung für das Update?
Weitere Hintergründe finden Sie auf der Seite ColdFusion und Lucee, auch zum Wechsel zu Lucee.
Wie es weitergeht, je nach Ausgangslage
-
-
Ihr Altsystem läuft und enthält Regeln, die niemand neu schreiben will. Wir stellen seine Logik als Web-Service bereit und schließen bekannte Lücken einmalig. Vergleichstests prüfen, ob die Funktion gleich bleibt, und das Neue entsteht daneben im neuen Stack.
Die Installation prüfen lassen, mit festem Umfang und festem Preis
ColdFusion-Check
Für Unternehmen mit einer Anwendung auf Adobe ColdFusion oder Lucee, die wissen wollen, ob ihre Installation noch unterstützt und sicher betrieben wird.
- Version und Patch-Stand (Adobe ColdFusion 9 bis 2025, Lucee 5 bis 7)
- Erreichbarkeit von Administrator und RDS
- JVM, Tomcat und TLS
- Backups, geplante Tasks, Datenquellen und Mailversand mit cfmail
- Optionen: mit Patches bleiben, Version anheben oder zu Lucee migrieren
Anwendungslogik und Code sind nicht Teil des Checks, dafür gibt es den Legacy-Review. Den Aufwand einer Migration schätzen wir in einem eigenen Angebot.
Was das Ergebnis enthält
Eine schriftliche Ergebnisliste nach Priorität, mit den Optionen und einer Empfehlung. Die Liste gehört Ihnen.
Quellen
Die Angaben stammen aus den folgenden Veröffentlichungen der Projekte (Stand: 2026-10):
- Adobe: ColdFusion-EOL-Matrix (öffnet in einem neuen Fenster) für die Termine von ColdFusion 2018, 2021, 2023 und 2025.
- Adobe ColdFusion Blog: Beitrag zum Ende des Supports für ColdFusion 2021 (öffnet in einem neuen Fenster) vom 05.03.2026 für den erweiterten Support.
- Adobe: Sicherheitsbulletin APSB26-68 (öffnet in einem neuen Fenster) für die Updates zu CVE-2026-48282.
Ein Fall aus unserer Arbeit
-
ColdFusion 2025 im Produktivbetrieb hinter Apache: fünf nicht offensichtliche Fallen
Wir haben eine Produktivinstallation von Adobe ColdFusion 2025 auf Debian 12 vorbereitet, hinter einem Apache 2.4, der schon mehrere andere Sites bedient. Die Installation selbst dauert 34 Sekunden. Die Aufmerksamkeit ging in den Konnektor und in Details, die leicht übersehen werden: ein Fehler 503 durch IPv6, Zuordnungen in jedem virtuellen Host und ein Profil, das still einen Debugger hinzufügt.
Fragen zum Support-Ende bei ColdFusion und Lucee
Können wir ColdFusion 2021 einfach weiterbetreiben?
Technisch ja, die Anwendung läuft weiter. Für ColdFusion 2021 gibt es laut Adobe-Ankündigung zum Support-Ende (öffnet in einem neuen Fenster) seit dem 10.11.2025 keine Sicherheits-Patches mehr, der erweiterte Support ist bis zum 10.11.2026 befristet (Stand: 2026-10). Wie hoch das Risiko ist, hängt davon ab, ob Anwendung und Administrator aus dem Internet erreichbar sind.
Als Übergang ist Weiterbetreiben vertretbar, solange der Wechsel vorbereitet wird: Administrator und RDS sperren, eine WAF mit Regeln für Ihre Anwendung davorsetzen, das Netz trennen. Das senkt das Risiko, beseitigt es aber nicht. Als Dauerzustand empfehlen wir es nicht, denn Auditoren, Versicherer und Kunden fragen häufig nach unterstützten Versionen.
Ist meine ColdFusion-Version noch sicher?
Das hängt davon ab, welche Version Sie einsetzen. ColdFusion 2025 und 2023 erhalten Sicherheits-Updates, ColdFusion 2021 und ältere Versionen nicht mehr (Stand: 2026-10). Für CVE-2026-48282, eine Lücke, die laut Adobe bereits in begrenzten Angriffen ausgenutzt wurde, hat Adobe nur für ColdFusion 2025 und 2023 Patches veröffentlicht.
Neben der Version zählen ein Administrator ohne Zugang aus dem Internet und regelmäßige Updates. Mit dem ColdFusion-Check prüfen wir Ihre Installation.
Wer sorgt bei Lucee für Updates und Support?
Das Lucee-Projekt veröffentlicht Releases und Sicherheits-Updates. Einspielen und absichern müssen Sie sie selbst oder durch einen Dienstleister (Stand: 2026-10).
Diese Pflege übernehmen wir auf Wunsch: Updates, Absicherung des Administrators, Monitoring und Backups. Das klären wir vor der Migration, damit die Pflege nach dem Umschalten nicht offen bleibt.
Wie aufwendig ist das Update auf ColdFusion 2023 oder 2025?
Am meisten hängt am Code: ob und wie weit er in der neuen Version läuft. Zwischen ColdFusion-Versionen ändern manche Funktionen und Tags ihr Verhalten oder entfallen, dann muss der Code umgebaut werden. Am aufwendigsten ist es, wenn die Anwendung auf einem Framework aufbaut, das keine Updates mehr bekommt und die neue Version nicht unterstützt: Dann kommt die Anpassung oder der Ersatz des Frameworks dazu. Hinzu kommen eigene Java-Bibliotheken und Einstellungen des Servers. Dasselbe gilt für ein Update von Lucee.
Ausgehend von ColdFusion 2021 kommen 2023 (Core-Support bis 16.05.2028) und 2025 (laut Adobe-Matrix bis 26.02.2030) als Ziel infrage. Dazu kommen Lizenz, Tests und der Umzug der Einstellungen. Wie viele Arbeitstage das bei Ihnen sind, sagen wir nach dem ColdFusion-Check, nicht vorher.
In 20 Minuten klären wir, welcher erste Schritt zu Ihrem System passt
Sie schildern Ziel und Stand, wir sagen offen, ob und wie wir helfen können. Antwort innerhalb eines Werktags, unverbindlich.
Telefon (Deutsch, Polnisch, Englisch)
+48 501 250 220
E-Mail
E-Mail
Erreichbar: Montag bis Freitag, 9:00 bis 17:00 Uhr (MEZ); Support und Notfälle rund um die Uhr (24/7)