Firma Adobe wystosowała oficjalny komunikat: od 10 listopada 2025 r. ColdFusion 2021 nie otrzymuje poprawek bezpieczeństwa. Porównujemy cztery rozwiązania z terminami i ryzykiem (stan: 2026-10): zostać i zabezpieczyć instalację, zaktualizować do wspieranej wersji, przejść na rozwiązanie open source Lucee albo stopniowo zastąpić cały system.
Adobe ColdFusion: koniec wsparcia według wersji, ze źródłami
Które wersje Adobe ColdFusion nadal otrzymują aktualizacje bezpieczeństwa? Oś czasu podaje terminy dla wersji od 2018 do 2025 ze źródłem (stan: 2026-10). Do tego dochodzą sytuacja bezpieczeństwa i lista kontrolna dla właścicieli aplikacji.
- Wszystkie terminy ze źródłem, stan: 2026-10
- ColdFusion i Lucee od 2015 r. w systemach produkcyjnych
Opublikowano: 2026-10-26 · Stan na dzień: 2026-10 · Redakcja Prownex
Co pokazuje oś czasu i jak ją czytać
Według macierzy Adobe wsparcie podstawowe obejmuje każdą wersję ColdFusion przez pięć lat. Dla ColdFusion 2018, 2021 i 2023 następuje po nim rok wsparcia rozszerzonego, dla ColdFusion 2025 macierz go nie przewiduje. Według Adobe wsparcie rozszerzone dla ColdFusion 2021 nie obejmuje poprawek bezpieczeństwa ani hotfixów (stan: 2026-10). Wsparcie podstawowe dla ColdFusion 2021 skończyło się 10.11.2025, a rozszerzone obowiązuje do 10.11.2026. ColdFusion 2018 i starsze nie mają już wsparcia, a ColdFusion 2023 i 2025 nadal otrzymują aktualizacje.
Oś czasu jest uporządkowana według dat, a każdy wiersz podaje wersję i źródło. Data z przeszłości opisuje stan, a nie dzień wyłączenia: aplikacja działa dalej, ale na nowo wykryte luki nie ma już poprawek.
Wersję Państwa instalacji pokazuje ColdFusion Administrator w sekcji System Information. W kodzie jest ona dostępna w zmiennej server.coldfusion.productversion.
Lucee ma własne zestawienie: Lucee: terminy końca wsparcia. Czym jest Lucee, wyjaśnia artykuł Czym jest Lucee?.
Terminy wsparcia Adobe ColdFusion
| Data | Zdarzenie | Źródło |
|---|---|---|
| 2023-07-13 | Adobe ColdFusion 2018: koniec wsparcia podstawowego. | helpx.adobe.com (otwiera się w nowym oknie) |
| 2024-07-13 | Adobe ColdFusion 2018: koniec wsparcia rozszerzonego. | helpx.adobe.com (otwiera się w nowym oknie) |
| 2025-11-10 | Adobe ColdFusion 2021: koniec wsparcia podstawowego. | helpx.adobe.com (otwiera się w nowym oknie) |
| 2026-06-30 | Adobe publikuje biuletyn bezpieczeństwa APSB26-68 z priorytetem 1. Poprawki są tylko dla ColdFusion 2025 (Update 10) i ColdFusion 2023 (Update 21). Według Adobe lukę CVE-2026-48282 wykorzystano w ograniczonych atakach. | helpx.adobe.com (otwiera się w nowym oknie) |
| 2026-11-10 | Adobe ColdFusion 2021: koniec wsparcia rozszerzonego. Według Adobe nie obejmuje ono poprawek bezpieczeństwa ani hotfixów. | coldfusion.adobe.com (otwiera się w nowym oknie) |
| 2028-05-16 | Adobe ColdFusion 2023: koniec wsparcia podstawowego. | helpx.adobe.com (otwiera się w nowym oknie) |
| 2029-05-16 | Adobe ColdFusion 2023: koniec wsparcia rozszerzonego. | helpx.adobe.com (otwiera się w nowym oknie) |
| 2030-02-26 | Adobe ColdFusion 2025: koniec wsparcia podstawowego. Macierz Adobe nie przewiduje dla tej wersji wsparcia rozszerzonego. | helpx.adobe.com (otwiera się w nowym oknie) |
Co koniec wsparcia oznacza w praktyce
Koniec wsparcia nie oznacza wyłączenia. Aplikacja działa dalej, ale nowo wykryte luki bezpieczeństwa pozostają otwarte. Co to oznacza dla Państwa, zależy od wersji (stan: 2026-10):
- ColdFusion 2018 i starsze: Nie ma już poprawek bezpieczeństwa. Potrzebna jest aktualizacja lub migracja, a do tego czasu pozostaje tylko zabezpieczenie otoczenia aplikacji.
- ColdFusion 2021: Według Adobe wsparcie rozszerzone nie obejmuje poprawek bezpieczeństwa i kończy się 10.11.2026. Kto nadal korzysta z tej wersji, potrzebuje planu na czas po tej dacie.
- ColdFusion 2023 i 2025: Obie wersje otrzymują aktualizacje bezpieczeństwa.
W biuletynie APSB26-68 Adobe opublikowało aktualizacje tylko dla ColdFusion 2025 i 2023. Według Adobe luki dotyczą ColdFusion 2025 w wersji Update 9 i starszych oraz ColdFusion 2023 w wersji Update 20 i starszych. Lukę CVE-2026-48282 według Adobe wykorzystano już w ograniczonych atakach. Dla ColdFusion 2021 biuletyn nie zawiera ani aktualizacji, ani informacji, czy ta wersja jest podatna.
Zarówno dla Adobe ColdFusion, jak i dla Lucee decydujące są: wspierana wersja, panel Administrator niedostępny z internetu i regularne aktualizacje.
Co warto teraz sprawdzić:
- Jaka wersja i jaki poziom poprawek działa według panelu Administrator w sekcji System Information?
- Czy Administrator i RDS (zdalny dostęp dla narzędzi programistycznych) są dostępne z internetu?
- Jaka wersja Javy działa pod spodem i czy obsługuje wersję docelową?
- Czy istnieje kopia zapasowa z przetestowanym odtworzeniem i środowisko testowe do aktualizacji?
Więcej informacji znajdą Państwo na stronie ColdFusion i Lucee, także o przejściu na Lucee.
Co dalej, zależnie od sytuacji wyjściowej
-
-
Państwa stary system działa i zawiera reguły, których nikt nie chce pisać od nowa. Udostępniamy jego logikę jako usługę webową i jednorazowo zamykamy znane luki. Testy porównawcze sprawdzają, czy działanie pozostaje takie samo, a nowe funkcje powstają obok, w nowym stosie technologicznym.
Przegląd instalacji o stałym zakresie i stałej cenie
Przegląd instalacji ColdFusion
Dla firm z aplikacją na Adobe ColdFusion lub Lucee, które chcą wiedzieć, czy ich instalacja jest nadal objęta wsparciem i bezpiecznie prowadzona.
- Wersja i poziom poprawek (Adobe ColdFusion od wersji 9 do 2025, Lucee od wersji 5 do 7)
- Dostępność Administratora i RDS z internetu
- JVM, Tomcat i TLS
- Kopie zapasowe, zaplanowane zadania, źródła danych i wysyłka poczty przez cfmail
- Opcje: pozostać przy aktualnych poprawkach, podnieść wersję lub przejść na Lucee
Logika aplikacji i kod nie należą do zakresu przeglądu, od tego jest Przegląd systemu legacy.
Co zawiera wynik
Pisemna lista ustaleń według priorytetu, z opcjami i rekomendacją. Lista należy do Państwa.
Źródła
Informacje pochodzą z następujących publikacji projektów (stan: 2026-10):
- Adobe: macierz końca wsparcia ColdFusion (EOL) (otwiera się w nowym oknie) dla terminów ColdFusion 2018, 2021, 2023 i 2025.
- Blog Adobe ColdFusion: wpis o końcu wsparcia ColdFusion 2021 (otwiera się w nowym oknie) z 05.03.2026 dla wsparcia rozszerzonego.
- Adobe: biuletyn bezpieczeństwa APSB26-68 (otwiera się w nowym oknie) dla aktualizacji związanych z CVE-2026-48282.
Przypadek z naszej pracy
-
Produkcyjny ColdFusion 2025 za Apache: pięć nieoczywistych pułapek
Przygotowaliśmy produkcyjną instalację Adobe ColdFusion 2025 na Debianie 12, za serwerem Apache 2.4, który obsługuje już kilka innych serwisów. Sama instalacja trwa 34 sekundy. Konektor i łatwe do przeoczenia szczegóły konfiguracji wymagały więcej uwagi: błąd 503 przez IPv6, mapowania sięgające do każdego hosta wirtualnego i profil, który po cichu dokłada debugger.
Pytania o koniec wsparcia ColdFusion i Lucee
Czy możemy po prostu dalej korzystać z ColdFusion 2021?
Technicznie tak, aplikacja będzie działać dalej. Według komunikatu Adobe o końcu wsparcia (otwiera się w nowym oknie) dla ColdFusion 2021 od 10.11.2025 nie ma już poprawek bezpieczeństwa, a rozszerzone wsparcie obowiązuje tylko do 10.11.2026 (stan: 2026-10). Jak duże jest ryzyko, zależy od tego, czy aplikacja i panel administracyjny są dostępne z internetu.
Jako rozwiązanie przejściowe jest to akceptowalne. Warunkiem jest wdrożenie właściwych zmian w przyszłości. Należy wówczas zablokować zewnętrzny dostęp do panelu administracyjnego i RDS, wdrożyć przed aplikacją zaporę WAF z odpowiednio dopasowanymi regułami oraz przeprowadzić segmentację sieci. To zmniejsza ryzyko, ale go nie usuwa. Jako rozwiązania docelowego tego nie zalecamy, ponieważ audytorzy, ubezpieczyciele i klienci często pytają o wspierane wersje.
Czy nasza wersja ColdFusion jest jeszcze bezpieczna?
To zależy od tego, której wersji Państwo używają. ColdFusion 2025 i 2023 otrzymują aktualizacje bezpieczeństwa, a ColdFusion 2021 i starsze wersje nie są już regularnie objęte aktualizacjami (stan: 2026-10). Dla luki CVE-2026-48282, którą według Adobe wykorzystano już w ograniczonych atakach, Adobe opublikowało poprawki tylko dla ColdFusion 2025 i 2023 (biuletyn APSB26-68, 30.06.2026).
Poza wersją liczy się panel administracyjny bez dostępu z internetu i regularne aktualizacje. W ramach Przeglądu instalacji ColdFusion sprawdzamy Państwa instalację.
Kto przy Lucee dba o aktualizacje i wsparcie?
Projekt Lucee publikuje nowe wersje i aktualizacje bezpieczeństwa. Ich instalacja i zabezpieczenie systemu należą do Państwa albo do wybranego wykonawcy (stan: 2026-10).
Na życzenie przejmujemy tę opiekę: aktualizacje, zabezpieczenie panelu Administrator, monitoring i kopie zapasowe. Ustalamy to przed migracją, żeby po przełączeniu nie było wątpliwości, kto dba o system.
Jak pracochłonna jest aktualizacja do ColdFusion 2023 lub 2025?
Najwięcej zależy od kodu: czy i w jakim stopniu działa w nowej wersji. Między wersjami ColdFusion niektóre funkcje i tagi zmieniają działanie albo znikają, a wtedy kod trzeba przebudować. Najtrudniej jest, gdy aplikacja opiera się na frameworku, który nie dostaje już aktualizacji i nie obsługuje nowej wersji: wtedy dochodzi dostosowanie albo wymiana frameworka. Do tego własne biblioteki Javy i ustawienia serwera aplikacji. To samo dotyczy aktualizacji Lucee.
Przy aktualizacji z ColdFusion 2021 wersją docelową może być 2023 (wsparcie podstawowe do 16.05.2028) lub 2025 (według macierzy Adobe do 26.02.2030). Dochodzą testy i przeniesienie ustawień. Ile dni roboczych to oznacza w Państwa przypadku, powiemy po Przeglądzie instalacji ColdFusion, nie wcześniej.
W 20 minut ustalimy, jaki pierwszy krok pasuje do Państwa systemu
Państwo opisują cel i obecny stan, my mówimy otwarcie, czy i jak możemy pomóc. Odpowiedź w ciągu jednego dnia roboczego, bez zobowiązań.
Telefon (niemiecki, polski, angielski)
+48 501 250 220
E-mail
E-mail
Dostępni: poniedziałek–piątek, 9:00–17:00 (czas środkowoeuropejski); wsparcie i awarie całą dobę (24/7)