Adobe Photoshop: Out-of-bounds-Schreibzugriff mit Codeausführung
Zusammenfassung
Adobe Photoshop Desktop unter Windows und macOS enthält eine Out-of-Bounds-Schreibschwachstelle (CWE-787, CVE-2026-100111, CVSS 7.8). Ein Angreifer, der ein Opfer zum Öffnen einer manipulierten Datei bringt, kann beliebigen Code mit den Rechten des angemeldeten Benutzers ausführen. Der Angriff erfordert keine Berechtigungen, aber eine Benutzerinteraktion.
Betroffen
- Photoshop 2026: 27.10 und früher (Windows und macOS)
- Photoshop 2025: 26.11.7 und früher (Windows und macOS)
Behoben in
- Photoshop 2026: 27.11
- Photoshop 2025: 26.11.8
Umgehung
Unbekannt.
Ausnutzung
- Adobe ist keine Ausnutzung der Schwachstellen in diesem Update in freier Wildbahn bekannt.
- Laut dem Strix-Eintrag ist die Schwachstelle nicht im CISA-KEV-Katalog aufgeführt.
- In der Recherche wurde kein öffentlicher Proof-of-Concept gefunden. Dies belegt nicht, dass keiner existiert.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Photoshop 2026 auf 27.11 und Photoshop 2025 auf 26.11.8 über die Creative Cloud Desktop-App oder die Admin Console aktualisieren.
- Dateien von unbekannten oder nicht vertrauenswürdigen Absendern nicht öffnen.
- Lokale Administratorrechte für Photoshop-Benutzer entfernen.
- Das Update im regulären Patch-Zyklus einspielen, aber nicht unbegrenzt aufschieben.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-158 www.adobe.com
- CVE-2026-100111 at threatint cve.threatint.com
- CVE-2026-100111 at Vulners vulners.com
- Zero Day Initiative October 2026 security update review www.zerodayinitiative.com
- Strix entry CVE-2026-100111 www.strix.ai
- Tenable/Nessus entry APSB26-158 (macOS) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 00:11.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.