+48 501 250 220

ColdFusion 2021 bez poprawek bezpieczeństwa: dostępne opcje

Firma Adobe wystosowała oficjalny komunikat: od 10 listopada 2025 r. ColdFusion 2021 nie otrzymuje poprawek bezpieczeństwa. Porównujemy cztery rozwiązania z terminami i ryzykiem (stan: 2026-10): zostać i zabezpieczyć instalację, zaktualizować do wspieranej wersji, przejść na rozwiązanie open source Lucee albo stopniowo zastąpić cały system.

Zleć przegląd instalacji ColdFusion ColdFusion i Lucee w skrócie
  • ColdFusion i Lucee w systemach produkcyjnych od 2015 r.
  • Adobe ColdFusion od wersji 9 do 2025, Lucee 5, 6 i 7
  • Odpowiedź w ciągu jednego dnia roboczego
Stos czterech warstw, druga zakreskowana, połączony liniami z trzema małymi prostokątami po prawej; cienka linia prowadzi od zakreskowanej warstwy do pomarańczowej kreski na osi czasu, a strzałka od stosu wskazuje późniejszą kreskę

Czy Państwa wersja ColdFusion jest jeszcze wspierana?

Wersję pokazuje ColdFusion Administrator w sekcji System Information. W kodzie podaje ją zmienna server.coldfusion.productversion. Czy wersja jest jeszcze wspierana, zależy od wydania (stan: 2026-10):

  • ColdFusion 2018 i starsze: wsparcie podstawowe zakończyło się najpóźniej 13 lipca 2023 r., a wsparcie rozszerzone najpóźniej 13 lipca 2024 r. Obecnie brak jakichkolwiek aktualizacji i poprawek bezpieczeństwa.
  • ColdFusion 2021: wsparcie podstawowe zakończyło się 10 listopada 2025 r. Wsparcie rozszerzone potrwa maksymalnie do 10 listopada 2026 r., ale zgodnie z komunikatem Adobe o końcu wsparcia (otwiera się w nowym oknie) nie obejmuje poprawek bezpieczeństwa ani poprawek awaryjnych (hotfixów).
  • ColdFusion 2023 i 2025: obie wersje są w fazie wsparcia podstawowego i w pełni otrzymują aktualizacje oraz poprawki bezpieczeństwa.

Po wygaśnięciu wsparcia aplikacja nadal funkcjonuje, jednak firma Adobe nie dostarcza już poprawek dla nowo wykrywanych podatności.

Serwer połączony linią z kalendarzem ściennym; jeden dzień w siatce kalendarza jest zaznaczony na pomarańczowo

Kiedy kończy się wsparcie poszczególnych wersji?

Stan na dzień: 2026-10
Data Zdarzenie Źródło
2023-07-13 Adobe ColdFusion 2018: koniec wsparcia podstawowego. helpx.adobe.com (otwiera się w nowym oknie)
2025-11-10 Adobe ColdFusion 2021: koniec wsparcia podstawowego. Wsparcie rozszerzone według Adobe nie obejmuje poprawek bezpieczeństwa ani poprawek awaryjnych (hotfixów). helpx.adobe.com (otwiera się w nowym oknie)
2026-11-10 Adobe ColdFusion 2021: koniec wsparcia rozszerzonego. helpx.adobe.com (otwiera się w nowym oknie)
2028-05-16 Adobe ColdFusion 2023: koniec wsparcia podstawowego. helpx.adobe.com (otwiera się w nowym oknie)
2030-02-26 Adobe ColdFusion 2025: koniec wsparcia podstawowego. Firma Adobe nie podaje dla tej wersji wsparcia rozszerzonego. helpx.adobe.com (otwiera się w nowym oknie)

Co sytuacja bezpieczeństwa oznacza dla ColdFusion 2021

Firma Adobe w dniu 30 czerwca 2026 r. opublikowała biuletyn bezpieczeństwa APSB26-68 (otwiera się w nowym oknie) o najwyższym priorytecie (Priorytet 1). Dedykowane aktualizacje zostały wydane wyłącznie dla dwóch najnowszych wersji systemu:

  • ColdFusion 2025: łatka Update 10
  • ColdFusion 2023: łatka Update 21

Zgodnie z informacjami od producenta na wykryte podatności narażone są instalacje ColdFusion 2025 do Update 9 włącznie oraz ColdFusion 2023 do Update 20 włącznie (stan: 2026-10). Zaleca się aktualizację do najnowszej wersji.

Wykryte luki umożliwiają m.in. wykonanie dowolnego kodu, eskalację uprawnień, odczyt dowolnych plików oraz obejście zabezpieczeń. Według informacji Adobe podatność CVE-2026-48282 jest już wykorzystywana w ograniczonych atakach na systemy Adobe ColdFusion.

Dla ColdFusion 2021 biuletyn nie zawiera aktualizacji. Nie wynika z niego, czy ta wersja jest podatna. Dla ColdFusion i dla Lucee decydują te same trzy rzeczy: wspierana wersja, panel administracyjny niedostępny z internetu i regularne aktualizacje. Więcej na stronie ColdFusion i Lucee. Czym Lucee różni się od Adobe ColdFusion, wyjaśnia artykuł Czym jest Lucee?.

Serwer nad osią czasu: do pomarańczowej linii, czyli końca wsparcia, aktualizacje przychodzą jako pełne kropki; dalej linia jest przerywana, a otwarte pierścienie niezałatanych luk piętrzą się

Która opcja pasuje do jakiej sytuacji? (stan: 2026-10)

Kryterium Zostać i zabezpieczyć Zaktualizować do ColdFusion 2023 lub 2025 Przejść na Lucee Zastępować stopniowo
Co się dzieje Instalacja zostaje. Administrator i RDS (zdalny dostęp dla narzędzi programistycznych) są dostępne już tylko z sieci wewnętrznej. WAF z regułami dopasowanymi do Państwa aplikacji filtruje ruch, a sieć dzielimy na strefy. Aplikacja działa na wspieranej wersji Adobe ColdFusion. Aplikacja działa na aktualnej wersji Lucee. Sprawdzamy i testujemy funkcje specyficzne dla Adobe, generowanie PDF oraz ustawienia z panelu Administrator. Udostępniamy sprawdzoną logikę jako API i jednorazowo ją zabezpieczamy. Nowe funkcje powstają obok, w aktualnym stosie technologicznym. Stare części zastępujemy tam, gdzie to się opłaca.
Poprawki bezpieczeństwa Brak dla ColdFusion 2021 i starszych. Te środki zmniejszają ryzyko, ale nie usuwają luk. Tak, ColdFusion 2023 i 2025 otrzymują aktualizacje bezpieczeństwa. Tak, w wersjach objętych wsparciem. Zależy od środowiska, na którym stary system działa w okresie przejściowym.
Kiedy pasuje Zmiana jest już zaplanowana i trzeba przetrwać czas do jej wdrożenia. Jako stanu trwałego tego nie zalecamy. Jeśli chcą Państwo zostać przy Adobe, a aplikacja pasuje do nowego środowiska. Jeśli chcą Państwo przejść na środowisko open source, a aplikacja nie korzysta z funkcji specyficznych dla Adobe. Logika biznesowa jest cenna, nikt nie chce pisać jej od nowa, a nowy stos ma korzystać z jej funkcji.

Czego nie da się powiedzieć bez wglądu w Państwa system

Szacunki dotyczące czasu i kosztów migracji przedstawione bez wcześniejszej analizy aplikacji nie są rzetelne. To, czy Państwa kod zadziała na Lucee bez zmian, jak długo potrwa aktualizacja i ile będzie kosztować, zależy od specyfiki danej instalacji. Konkretną wycenę przedstawiamy dopiero po przeanalizowaniu Państwa środowiska.

BoxLang to alternatywne środowisko uruchomieniowe zgodne z CFML. Nasza praktyka koncentruje się na Adobe ColdFusion oraz Lucee, dlatego rozwiązanie to nie zostało uwzględnione w tabeli.

Poszczególne warianty szczegółowo opisujemy na stronach ColdFusion i Lucee, Monolit jako usługa webowa oraz Migracja i modernizacja. Czym jest Lucee i czym różni się od Adobe ColdFusion, wyjaśnia artykuł Czym jest Lucee?. W przypadku chęci pozostania przy obecnej instalacji i jej zabezpieczenia, konkretne rekomendacje przedstawiamy podczas rozmowy po przeglądzie. Działania te wchodzą w skład architektury bezpieczeństwa oraz ochrony WAF w ramach usługi Administracja Linux i infrastruktura.

Po lewej przerywany serwer, czyli system jeszcze niesprawdzony; u góry szeroki przerywany przedział szacunku bez wglądu w system; strzałka prowadzi do krótkiego pomarańczowego przedziału, czyli szacunku po przeglądzie

Od rozmowy wstępnej do pisemnej podstawy decyzji

  1. Rozmowa wstępna

    Opisują Państwo wersję, serwer i termin. Pierwszą odpowiedź otrzymują Państwo w ciągu jednego dnia roboczego.

  2. Dostęp

    Dostępy przyznają Państwo na własnych warunkach i po przeglądzie można je ponownie zablokować.

  3. Przegląd

    Czas realizacji wynosi od 2 do 3 dni roboczych od momentu uzyskania dostępu. W tym czasie weryfikujemy wersję i poziom poprawek a także sprawdzamy, czy konsola Administratora i usługa RDS są dostępne z zewnątrz. Analizujemy również konfigurację JVM, serwera Tomcat, protokołu TLS, kopii zapasowych, zaplanowanych zadań, źródeł danych oraz wysyłki poczty przez cfmail.

  4. Pisemna lista ustaleń

    Otrzymują Państwo zestawienie ustaleń uporządkowanych według priorytetu, a do tego dostępne opcje i naszą rekomendację. Lista pozostaje do Państwa pełnej dyspozycji.

  5. Decyzja

    Nakład pracy dla wybranego wariantu szacujemy indywidualnie, zanim podejmą Państwo jakąkolwiek decyzję lub złożą zamówienie. Ostateczny wybór zawsze należy do Państwa.

Na czym opiera się ocena naszych inżynierów

Utrzymanie
ColdFusion i Lucee w systemach produkcyjnych od 2015 r.
Wersje
Adobe ColdFusion od wersji 9 do 2025 oraz Lucee 5, 6 i 7
Migracje
Z Adobe ColdFusion na Lucee oraz z Windows i IIS na Linux, razem z testem generowania PDF
Typy systemów
Platformy obsługi kredytów, finansowania hipotecznego i leasingu oraz systemy generowania dokumentów i umów.

Kod, hasła i dokumentacja zostają u Państwa

  • Gdy współpraca się kończy, przekazujemy wyniki i dokumentację w uporządkowanej formie Państwu albo kolejnemu wykonawcy.
  • Gdy zmiana jest nieopłacalna, powiemy o tym wprost.

A co, jeśli u nas ktoś będzie niedostępny? Dokumentację sporządzamy na życzenie. Repozytorium z reguły znajduje się u Państwa. Zastępstwo organizujemy na życzenie. Więcej na stronach Współpraca i Doświadczenie.

Po prawej pomarańczowa rama, a w niej kod źródłowy, karta dostępu i dokumentacja; po lewej administrator przy laptopie, połączony z ramą tylko przerywaną linią

Pierwszy krok: przegląd o stałym zakresie i stałej cenie

Przegląd instalacji ColdFusion

Dla firm z aplikacją na Adobe ColdFusion lub Lucee, które chcą wiedzieć, czy ich instalacja jest nadal objęta wsparciem i bezpiecznie prowadzona.

  • Wersja i poziom poprawek (Adobe ColdFusion od wersji 9 do 2025, Lucee od wersji 5 do 7)
  • Dostępność Administratora i RDS z internetu
  • JVM, Tomcat i TLS
  • Kopie zapasowe, zaplanowane zadania, źródła danych i wysyłka poczty przez cfmail
  • Opcje: pozostać przy aktualnych poprawkach, podnieść wersję lub przejść na Lucee

Logika aplikacji i kod nie należą do zakresu przeglądu, od tego jest Przegląd systemu legacy.

Co zawiera wynik

Pisemna lista ustaleń według priorytetu, z opcjami i rekomendacją. Lista należy do Państwa.

od 2 400 € netto

Zwykle 3 dni robocze

Zleć przegląd instalacji ColdFusion

Dwa przypadki z naszej pracy

  • Przeglądarka, ramka z podpisem Apache i trzy tory do PHP, PHP i CFML; tor CFML i jego ramka są pomarańczowe

    Produkcyjny ColdFusion 2025 za Apache: pięć nieoczywistych pułapek

    Przygotowaliśmy produkcyjną instalację Adobe ColdFusion 2025 na Debianie 12, za serwerem Apache 2.4, który obsługuje już kilka innych serwisów. Sama instalacja trwa 34 sekundy. Konektor i łatwe do przeoczenia szczegóły konfiguracji wymagały więcej uwagi: błąd 503 przez IPv6, mapowania sięgające do każdego hosta wirtualnego i profil, który po cichu dokłada debugger.

  • Duża pusta ramka z podpisem RAM 40 GB, a w niej mała ramka z podpisem JVM 1 GB pełna klocków, pomarańczowe klocki wychodzą ponad jej krawędź

    ColdFusion pod obciążeniem: diagnoza i naprawa błędu JVM heap space

    Aplikacja Adobe ColdFusion działała bez zarzutu przy niskim ruchu, a w godzinach szczytu zwracała błędy i zwalniała. Zreprodukowaliśmy problem na realnej bazie, zmierzyliśmy dokładny punkt, w którym sterta JVM się wyczerpuje, i naprawiliśmy konfigurację pamięci, z tym samym testem obciążeniowym przed i po jako dowodem.

Pytania, które pojawiają się przed decyzją

Czy możemy po prostu dalej korzystać z ColdFusion 2021?

Technicznie tak, aplikacja będzie działać dalej. Według komunikatu Adobe o końcu wsparcia (otwiera się w nowym oknie) dla ColdFusion 2021 od 10.11.2025 nie ma już poprawek bezpieczeństwa, a rozszerzone wsparcie obowiązuje tylko do 10.11.2026 (stan: 2026-10). Jak duże jest ryzyko, zależy od tego, czy aplikacja i panel administracyjny są dostępne z internetu.

Jako rozwiązanie przejściowe jest to akceptowalne. Warunkiem jest wdrożenie właściwych zmian w przyszłości. Należy wówczas zablokować zewnętrzny dostęp do panelu administracyjnego i RDS, wdrożyć przed aplikacją zaporę WAF z odpowiednio dopasowanymi regułami oraz przeprowadzić segmentację sieci. To zmniejsza ryzyko, ale go nie usuwa. Jako rozwiązania docelowego tego nie zalecamy, ponieważ audytorzy, ubezpieczyciele i klienci często pytają o wspierane wersje.

Czy WAF wystarczy?

Samodzielnie nie. WAF, czyli zapora aplikacji internetowych, filtruje typowe ataki przed aplikacją i daje czas, ale nie zamyka luki w kodzie. Dlatego łączymy go z usuwaniem znanych podatności, segmentacją sieci i dostępem administracyjnym wyłącznie przez VPN.

WAF z regułami dopasowanymi do Państwa aplikacji wywołuje mniej fałszywych alarmów i zwykle chroni skuteczniej niż konfiguracja domyślna. Jeśli kodu nie da się szybko zmienić, WAF z izolacją systemu jest rozwiązaniem pomostowym do czasu aktualizacji. Ryzyko maleje wtedy, ale nie znika.

Jak pracochłonna jest aktualizacja do ColdFusion 2023 lub 2025?

Najwięcej zależy od kodu: czy i w jakim stopniu działa w nowej wersji. Między wersjami ColdFusion niektóre funkcje i tagi zmieniają działanie albo znikają, a wtedy kod trzeba przebudować. Najtrudniej jest, gdy aplikacja opiera się na frameworku, który nie dostaje już aktualizacji i nie obsługuje nowej wersji: wtedy dochodzi dostosowanie albo wymiana frameworka. Do tego własne biblioteki Javy i ustawienia serwera aplikacji. To samo dotyczy aktualizacji Lucee.

Przy aktualizacji z ColdFusion 2021 wersją docelową może być 2023 (wsparcie podstawowe do 16.05.2028) lub 2025 (według macierzy Adobe do 26.02.2030). Dochodzą testy i przeniesienie ustawień. Ile dni roboczych to oznacza w Państwa przypadku, powiemy po Przeglądzie instalacji ColdFusion, nie wcześniej.

Czy nasza aplikacja zadziała na Lucee bez zmian?

Nie da się tego stwierdzić ogólnie. Lucee implementuje CFML, ale nie każda funkcja zachowuje się tak jak w Adobe ColdFusion. Typowe przeszkody to tagi i funkcje specyficzne dla Adobe oraz generowanie plików PDF. Dochodzą ustawienia z panelu ColdFusion Administrator, na przykład źródła danych, zadania harmonogramu i wysyłka poczty.

Nasi inżynierowie migrowali aplikacje z Adobe ColdFusion na Lucee i od początku uwzględniają w planie weryfikację i testy. Zgodność kodu z Lucee oceniamy w Przeglądzie systemu legacy albo w pierwszej fazie migracji, zanim Państwo zdecydują. Więcej na ten temat na stronie ColdFusion i Lucee.

Czy musimy przepisać system, żeby korzystać z nowego stosu technologicznego?

Nie. Jeśli stary system działa, udostępniamy jego logikę jako API i jednorazowo zamykamy znane luki. Funkcje mają przy tym pozostać bez zmian, co sprawdzają testy porównawcze. Nowe elementy budujemy obok, w nowym stosie, który korzysta z tego API.

Przepisanie od nowa rzadko się opłaca. Wchodzi w grę, gdy framework nie jest już rozwijany, brakuje testów, a reguły biznesowe da się spisać. Czy dotyczy to Państwa systemu, wyjaśnia Przegląd systemu legacy.

Kiedy mogą Państwo zacząć?

Pierwszą odpowiedź otrzymają Państwo w ciągu jednego dnia roboczego. Kiedy zaczniemy pracę, zależy od bieżącego obłożenia i od zakresu. Powiemy to Państwu wiążąco podczas rozmowy wstępnej. Jeśli sprawa jest pilna, Ocena awaryjna w 48 godzin rozpoczyna się z chwilą, gdy uzyskamy dostęp do systemu.

Prosimy podać wersję, serwer i termin

Na początek wystarczy kilka zdań. Odpowiadamy w ciągu jednego dnia roboczego.

Pola oznaczone jako „opcjonalnie” można zostawić puste.

Kontakt e-mailowy

Do kontaktu telefonicznego wystarczy numer: awarie całą dobę, w pozostałych sprawach w ciągu jednego dnia roboczego.

Jaki system, jaka technologia, co chcą Państwo osiągnąć? Prosimy nie przesyłać haseł ani poufnych dokumentów.

Odpowiedź w ciągu jednego dnia roboczego · bez zobowiązań

Wykorzystujemy Państwa dane wyłącznie do odpowiedzi na zapytanie. Prownex IT Services Sp. z o. o. jest administratorem danych. Okres przechowywania i Państwa prawa opisano w polityce prywatności.