Firma Adobe wystosowała oficjalny komunikat: od 10 listopada 2025 r. ColdFusion 2021 nie otrzymuje poprawek bezpieczeństwa. Porównujemy cztery rozwiązania z terminami i ryzykiem (stan: 2026-10): zostać i zabezpieczyć instalację, zaktualizować do wspieranej wersji, przejść na rozwiązanie open source Lucee albo stopniowo zastąpić cały system.
ColdFusion i Lucee: utrzymanie, aktualizacje i migracja
Nasi inżynierowie utrzymują Adobe ColdFusion i Lucee w systemach produkcyjnych nieprzerwanie od 2015 r., także wtedy, gdy brakuje dokumentacji i autora.
- Od 2015 r. ColdFusion i Lucee w systemach produkcyjnych
- Adobe ColdFusion od wersji 9 do 2025
- Lucee 5, 6 i 7
Gdzie stosujemy ColdFusion i Lucee
Nasi inżynierowie utrzymują aplikacje ColdFusion i Lucee, które od lat działają w produkcji. Często są to rozbudowane aplikacje branżowe, których programista odszedł, a dokumentacji brakuje.
Doświadczenie obejmuje Adobe ColdFusion od wersji 9 do 2025 i Lucee od 5 do 7. Nasi inżynierowie znają ColdSpring i własne frameworki, przenosili aplikacje z Windows i IIS na Linuksa oraz migrowali z Adobe ColdFusion na Lucee. Jakich systemów to dotyczyło, opisujemy na stronie Doświadczenie. Czym jest Lucee i czym różni się od Adobe ColdFusion, wyjaśnia artykuł Czym jest Lucee?.
Typowe zadania przy ColdFusion i Lucee
- Przejęcie awaryjne, gdy programista odszedł, a system musi działać dalej.
- Przegląd instalacji: Administrator i RDS, JVM, TLS, kopie zapasowe, zaplanowane zadania i wysyłka poczty przez cfmail.
- Aktualizacja Adobe ColdFusion 2018 lub 2021 do wersji 2023 lub 2025.
- Migracja z Adobe ColdFusion na Lucee, z testami i planem wycofania zmian.
- Przeniesienie z Windows i IIS na Linuksa, na życzenie z Dockerem, razem z testem generowania PDF.
- Usuwanie podatności wskazanych w raportach z testów penetracyjnych (XSS, SQL injection) oraz pierwsze analizy podatności.
- Bieżące utrzymanie: aktualizacje Adobe, JVM, monitoring i kopie zapasowe.
- Stopniowa modernizacja: udostępnienie sprawdzonej logiki jako API i budowa nowych elementów obok (monolit jako usługa webowa).
- Przekazanie wiedzy, dokumentacja i przegląd kodu CFML.
Jaka wersja działa u Państwa?
Adobe zapewnia każdej wersji ColdFusion pięć lat wsparcia podstawowego. Według macierzy Adobe dla ColdFusion 2018, 2021 i 2023 następuje po nim rok wsparcia rozszerzonego, a dla ColdFusion 2025 macierz go nie przewiduje. Według Adobe wsparcie rozszerzone dla ColdFusion 2021 nie obejmuje poprawek bezpieczeństwa ani hotfixów (stan: 2026-10).
Terminy wsparcia Adobe ColdFusion
| Data | Zdarzenie | Źródło |
|---|---|---|
| 2023-07-13 | Adobe ColdFusion 2018: koniec wsparcia podstawowego. | helpx.adobe.com (otwiera się w nowym oknie) |
| 2025-11-10 | Adobe ColdFusion 2021: koniec wsparcia podstawowego. | helpx.adobe.com (otwiera się w nowym oknie) |
| 2026-11-10 | Adobe ColdFusion 2021: koniec wsparcia rozszerzonego, które według Adobe nie obejmuje poprawek bezpieczeństwa ani poprawek awaryjnych (hotfixów). | helpx.adobe.com (otwiera się w nowym oknie) |
| 2028-05-16 | Adobe ColdFusion 2023: koniec wsparcia podstawowego. | helpx.adobe.com (otwiera się w nowym oknie) |
| 2030-02-26 | Adobe ColdFusion 2025: koniec wsparcia podstawowego. Macierz Adobe nie przewiduje dla tej wersji wsparcia rozszerzonego. | helpx.adobe.com (otwiera się w nowym oknie) |
Które wersje Lucee są nadal wspierane (stan: 2026-10)
| Wersja | Status według projektu Lucee | Co to oznacza dla Państwa |
|---|---|---|
| Lucee 5.4 i starsze | 5.4: koniec życia od 31.12.2025; 5.3 i starsze nie są już wspierane | Nie ma już aktualizacji bezpieczeństwa. Potrzebna jest aktualizacja do 6.2 LTS albo Lucee 7. |
| Lucee 6.0 i 6.1 | Wymieniane jako starsze wydania | Roadmapa 2026 podaje jako bieżące linie tylko 6.2 LTS i Lucee 7. Warto zaplanować przejście. |
| Lucee 6.2 LTS | Gałąź o długim wsparciu, bez ogłoszonego końca | Tylko krytyczne poprawki błędów i regresji, bez nowych funkcji. |
| Lucee 7.0 i 7.1 | 7.0 stabilne od 3.11.2025; 7.1.0.204 bieżące wydanie stabilne | Obie linie otrzymują aktualizacje. Lucee 7.1 przenosi wysyłkę poczty (SMTP) do rozszerzenia, trzeba ją sprawdzić przy każdej aktualizacji. Następnym LTS ma być Lucee 7. |
| Lucee 8.0 | Beta, nie do produkcji | Aktywna gałąź rozwojowa projektu. |
Jak wygląda bezpieczeństwo?
30.06.2026 Adobe opublikowało biuletyn bezpieczeństwa APSB26-68 z priorytetem 1. Zawiera on aktualizacje dla ColdFusion 2025 (Update 10) i ColdFusion 2023 (Update 21). Załatane luki mogą prowadzić do wykonania dowolnego kodu, eskalacji uprawnień, odczytu dowolnych plików i obejścia funkcji bezpieczeństwa. Według Adobe lukę CVE-2026-48282 wykorzystano już w ograniczonych atakach (stan: 2026-10).
Dla ColdFusion 2021 biuletyn nie podaje aktualizacji ani nie wskazuje, czy ta wersja jest podatna.
Zarówno dla Adobe ColdFusion, jak i dla Lucee decydujące są: wspierana wersja, panel Administrator niedostępny z internetu i regularne aktualizacje. Wszystkie terminy Lucee i komunikaty bezpieczeństwa projektu ze źródłem: Lucee: terminy końca wsparcia.
Biuletyn bezpieczeństwa z datą i źródłem
| Data | Zdarzenie | Źródło |
|---|---|---|
| 2026-06-30 | Adobe publikuje biuletyn bezpieczeństwa APSB26-68. Poprawki są tylko dla ColdFusion 2025 (Update 10) i ColdFusion 2023 (Update 21). | helpx.adobe.com (otwiera się w nowym oknie) |
Co może się zmienić w PDF i ścieżkach plików po przeniesieniu z Windows na Linuksa
Gdy ColdFusion przechodzi z Windows i IIS na Linuksa, często zmieniają się czcionki i rozmiary stron generowanych dokumentów. Przesuwają się wtedy podziały stron, tabele i stopki. Łatwo to zauważyć dopiero po przełączeniu.
Drugim częstym problemem są ścieżki plików. Windows używa liter dysków i ukośników wstecznych, na przykład C:\inetpub\wwwroot, a Linux jednego drzewa katalogów i zwykłych ukośników, na przykład /var/www. Ścieżki zapisane w kodzie, konfiguracji albo bazie danych, na przykład do obrazów i czcionek w PDF albo do folderów z przesłanymi plikami, po przeniesieniu przestają pasować. Linux rozróżnia też w nazwach plików wielkie i małe litery. Przenosiliśmy już takie aplikacje i wiemy, gdzie kryją się takie ścieżki.
Dlatego nasze plany migracji zawierają osobny test: porównujemy dokumenty przed przeniesieniem i po nim, sprawdzamy zainstalowane czcionki, formaty stron i ścieżki plików oraz poprawiamy odchylenia, zanim zmiana trafi na produkcję.
Technologie i zakres
| Obszar | Zakres |
|---|---|
| Środowisko uruchomieniowe | Adobe ColdFusion od 9 do 2025, Lucee 5, 6 i 7 |
| Architektura | ColdSpring, własne frameworki |
| Migracje | Windows i IIS na Linuksa, Adobe ColdFusion na Lucee, przeprowadzone w projektach |
| Dokumenty | Generowanie PDF z CFML, zachowanie po zmianie platformy |
| Kontenery i API | Docker dla Lucee i Adobe ColdFusion, udostępnianie logiki CFML jako API REST lub SOAP z jednorazowym zabezpieczeniem |
| Bazy danych i serwery | MySQL i MariaDB z Galera, Linux, TLS, KVM i Proxmox |
Typowe sytuacje wyjściowe przy ColdFusion i Lucee
-
-
Programista złożył wypowiedzenie albo już odszedł, a system musi działać. Sprawdzamy system i w ciągu 48 godzin po uzyskaniu dostępu przekazujemy Państwu pisemny raport ze stanem systemu, ryzykiem i planem stabilizacji.
-
Zespół nie nadąża, brakuje konkretnej wiedzy albo przed ważną decyzją potrzebna jest druga opinia? Przejmujemy wydzieloną część: moduł, backend do Państwa frontendu, interfejs, migrację albo przegląd kodu. Pracujemy w Państwa repozytorium i systemie zgłoszeń, a kod i wiedza zostają u Państwa.
Pierwszy krok o stałym zakresie i stałej cenie
Przegląd instalacji ColdFusion
Dla firm z aplikacją na Adobe ColdFusion lub Lucee, które chcą wiedzieć, czy ich instalacja jest nadal objęta wsparciem i bezpiecznie prowadzona.
- Wersja i poziom poprawek (Adobe ColdFusion od wersji 9 do 2025, Lucee od wersji 5 do 7)
- Dostępność Administratora i RDS z internetu
- JVM, Tomcat i TLS
- Kopie zapasowe, zaplanowane zadania, źródła danych i wysyłka poczty przez cfmail
- Opcje: pozostać przy aktualnych poprawkach, podnieść wersję lub przejść na Lucee
Logika aplikacji i kod nie należą do zakresu przeglądu, od tego jest Przegląd systemu legacy.
Co zawiera wynik
Pisemna lista ustaleń według priorytetu, z opcjami i rekomendacją. Lista należy do Państwa.
Ocena awaryjna w 48 godzin
Dla firm, których programista lub dostawca nagle odszedł, a system musi mimo to działać dalej.
- Inwentaryzacja: wersje, zależności, dostępy, kopie zapasowe, zaplanowane zadania, źródła danych i wysyłka poczty
- Lista ryzyk, które wymagają natychmiastowej uwagi
- Plan stabilizacji na pierwsze 5 dni i na pierwsze 30 dni
- Krótkie omówienie wyników
Wynik otrzymują Państwo 48 godzin po uzyskaniu dostępu do systemu. Zmiany w systemie produkcyjnym i dalsze prace wykonujemy wyłącznie po Państwa zgodzie.
Co zawiera wynik
Pisemny raport ze stanem systemu, ryzykami wymagającymi natychmiastowej reakcji i planem stabilizacji. Raport należy do Państwa.
Projekty z ColdFusion
-
Produkcyjny ColdFusion 2025 za Apache: pięć nieoczywistych pułapek
Przygotowaliśmy produkcyjną instalację Adobe ColdFusion 2025 na Debianie 12, za serwerem Apache 2.4, który obsługuje już kilka innych serwisów. Sama instalacja trwa 34 sekundy. Konektor i łatwe do przeoczenia szczegóły konfiguracji wymagały więcej uwagi: błąd 503 przez IPv6, mapowania sięgające do każdego hosta wirtualnego i profil, który po cichu dokłada debugger.
-
ColdFusion pod obciążeniem: diagnoza i naprawa błędu JVM heap space
Aplikacja Adobe ColdFusion działała bez zarzutu przy niskim ruchu, a w godzinach szczytu zwracała błędy i zwalniała. Zreprodukowaliśmy problem na realnej bazie, zmierzyliśmy dokładny punkt, w którym sterta JVM się wyczerpuje, i naprawiliśmy konfigurację pamięci, z tym samym testem obciążeniowym przed i po jako dowodem.
Pytania o ColdFusion i Lucee
Czy znają Państwo tylko Adobe ColdFusion, czy także Lucee?
Jedno i drugie. Nasi inżynierowie od 2015 r. nieprzerwanie pracują z ColdFusion i Lucee w systemach produkcyjnych. Obejmuje to Adobe ColdFusion od wersji 9 do 2025 oraz Lucee 5, 6 i 7. Do tego dochodzą ColdSpring, własne frameworki i migracja z Adobe ColdFusion na Lucee.
Czy nasza wersja ColdFusion jest jeszcze bezpieczna?
To zależy od tego, której wersji Państwo używają. ColdFusion 2025 i 2023 otrzymują aktualizacje bezpieczeństwa, a ColdFusion 2021 i starsze wersje nie są już regularnie objęte aktualizacjami (stan: 2026-10). Dla luki CVE-2026-48282, którą według Adobe wykorzystano już w ograniczonych atakach, Adobe opublikowało poprawki tylko dla ColdFusion 2025 i 2023 (biuletyn APSB26-68, 30.06.2026).
Poza wersją liczy się panel administracyjny bez dostępu z internetu i regularne aktualizacje. W ramach Przeglądu instalacji ColdFusion sprawdzamy Państwa instalację.
Czy nasza wersja Lucee jest jeszcze bezpieczna?
To zależy od gałęzi. Według projektu Lucee wersja 5.4 zakończyła życie 31.12.2025 i nie otrzymuje już aktualizacji bezpieczeństwa; Lucee 6.2 jest gałęzią o długim wsparciu, a Lucee 7 bieżącą linią stabilną, obie otrzymują aktualizacje (stan: 2026-10). Ostrzeżenia bezpieczeństwa projekt publikuje na GitHubie: poprawki luki CVE-2024-55354 weszły do Lucee 5.4.7.3 i 6.1.1.118, a dla luki CVE-2026-29519 projekt włączył w październiku 2026 r. poprawkę do linii 7.1.
Równie ważna jest konfiguracja: panel Administrator Lucee niedostępny z internetu, aktualne środowisko Java i regularnie instalowane aktualizacje. W ramach Przeglądu instalacji ColdFusion sprawdzamy też instalacje Lucee i mówimy, czy aktualizacja jest konieczna. Wszystkie terminy ze źródłem stoją na stronie Lucee: terminy końca wsparcia.
Czy możemy po prostu dalej korzystać z ColdFusion 2021?
Technicznie tak, aplikacja będzie działać dalej. Według komunikatu Adobe o końcu wsparcia (otwiera się w nowym oknie) dla ColdFusion 2021 od 10.11.2025 nie ma już poprawek bezpieczeństwa, a rozszerzone wsparcie obowiązuje tylko do 10.11.2026 (stan: 2026-10). Jak duże jest ryzyko, zależy od tego, czy aplikacja i panel administracyjny są dostępne z internetu.
Jako rozwiązanie przejściowe jest to akceptowalne. Warunkiem jest wdrożenie właściwych zmian w przyszłości. Należy wówczas zablokować zewnętrzny dostęp do panelu administracyjnego i RDS, wdrożyć przed aplikacją zaporę WAF z odpowiednio dopasowanymi regułami oraz przeprowadzić segmentację sieci. To zmniejsza ryzyko, ale go nie usuwa. Jako rozwiązania docelowego tego nie zalecamy, ponieważ audytorzy, ubezpieczyciele i klienci często pytają o wspierane wersje.
Czy nasza aplikacja zadziała na Lucee bez zmian?
Nie da się tego stwierdzić ogólnie. Lucee implementuje CFML, ale nie każda funkcja zachowuje się tak jak w Adobe ColdFusion. Typowe przeszkody to tagi i funkcje specyficzne dla Adobe oraz generowanie plików PDF. Dochodzą ustawienia z panelu ColdFusion Administrator, na przykład źródła danych, zadania harmonogramu i wysyłka poczty.
Nasi inżynierowie migrowali aplikacje z Adobe ColdFusion na Lucee i od początku uwzględniają w planie weryfikację i testy. Zgodność kodu z Lucee oceniamy w Przeglądzie systemu legacy albo w pierwszej fazie migracji, zanim Państwo zdecydują. Więcej na ten temat na stronie ColdFusion i Lucee.
Jak pracochłonna jest aktualizacja do ColdFusion 2023 lub 2025?
Najwięcej zależy od kodu: czy i w jakim stopniu działa w nowej wersji. Między wersjami ColdFusion niektóre funkcje i tagi zmieniają działanie albo znikają, a wtedy kod trzeba przebudować. Najtrudniej jest, gdy aplikacja opiera się na frameworku, który nie dostaje już aktualizacji i nie obsługuje nowej wersji: wtedy dochodzi dostosowanie albo wymiana frameworka. Do tego własne biblioteki Javy i ustawienia serwera aplikacji. To samo dotyczy aktualizacji Lucee.
Przy aktualizacji z ColdFusion 2021 wersją docelową może być 2023 (wsparcie podstawowe do 16.05.2028) lub 2025 (według macierzy Adobe do 26.02.2030). Dochodzą testy i przeniesienie ustawień. Ile dni roboczych to oznacza w Państwa przypadku, powiemy po Przeglądzie instalacji ColdFusion, nie wcześniej.
Czy musimy przepisać system, żeby korzystać z nowego stosu technologicznego?
Nie. Jeśli stary system działa, udostępniamy jego logikę jako API i jednorazowo zamykamy znane luki. Funkcje mają przy tym pozostać bez zmian, co sprawdzają testy porównawcze. Nowe elementy budujemy obok, w nowym stosie, który korzysta z tego API.
Przepisanie od nowa rzadko się opłaca. Wchodzi w grę, gdy framework nie jest już rozwijany, brakuje testów, a reguły biznesowe da się spisać. Czy dotyczy to Państwa systemu, wyjaśnia Przegląd systemu legacy.
Przy jakich projektach pracowali Państwo dotąd?
Nasi inżynierowie pracowali przy takich typach systemów:
- platformy do obsługi kredytów, z wieloma procesami i kanałami sprzedaży, także bezpośrednio dla banków
- platformy finansowania hipotecznego
- platformy leasingowe
- systemy do generowania dokumentów i umów
- portale wideo ze streamingiem i automatyczną konwersją materiałów
- serwisy informacyjne i ogłoszeniowe o dużym ruchu
- serwisy internetowe firm pracujących na zlecenie sektora publicznego, także instytucji kultury
Wybrane projekty opisujemy szczegółowo na stronie projektów, m.in. ColdFusion produkcyjnie i pod obciążeniem, dostarczalność poczty, sklep zalewany przez boty i indeksy SQL w bazie sklepu.
Nie są Państwo pewni, jaka usługa pasuje do systemu?
Prosimy opisać system w dwóch zdaniach. Odpowiemy, jaka usługa pasuje i czy produkt wejściowy ze stałą ceną będzie właściwym pierwszym krokiem.