Adobe Experience Manager: OS-Command-Injection führt zur Codeausführung
Zusammenfassung
Adobe Experience Manager (AEM) 6.5 LTS und die Linie 6.5 sind von einer OS-Command-Injection-Schwachstelle (CWE-78) betroffen. Ein angemeldeter Angreifer mit niedrigen Berechtigungen kann über das Netzwerk ohne Benutzerinteraktion beliebigen Code im Kontext des aktuellen Benutzers ausführen, und da der Scope verändert ist, kann die Auswirkung über AEM hinausgehen. Adobe hat im Sicherheitsbulletin APSB26-152 Fixes und Hotfixes veröffentlicht.
Betroffen
- Adobe Experience Manager 6.5 LTS: 0 bis 6.5 LTS SP3 (gemäss CNA-Eintrag)
- Adobe Experience Manager 6.5: 0 bis 6.5.25 (gemäss CNA-Eintrag; obere Grenze gegen die Tabelle von Adobe zu prüfen)
- Neuere AEM-Linien: Unbekannt, siehe APSB26-152
Behoben in
- 6.5 LTS SP1, SP2, SP3: Hotfix für NPR-44637
- 6.5.20 bis 6.5.25: Hotfix für NPR-44636
- Die genaue Zuordnung ist vor dem Rollout im Advisory APSB26-152 von Adobe zu prüfen
Umgehung
Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden; das Einspielen von Patches ist die primäre Massnahme.
Ausnutzung
- Adobe gibt an, keine Kenntnis von Exploits in freier Wildbahn für die Probleme dieses Updates zu haben.
- Ein Aggregator führt KEV: No; der CISA-KEV-Katalog wurde nicht direkt geprüft.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden; Abwesenheit nicht bestätigt.
Unsere Empfehlung
- Alle AEM-Instanzen und deren genaue Versionen erfassen und ermitteln, welche im betroffenen Bereich liegen.
- Die Fixes bzw. Hotfixes aus APSB26-152 gemäss der Tabelle von Adobe einspielen, zuerst bei aus dem Internet erreichbaren Publish-Instanzen.
- AEM-Konten und Rollen überprüfen; nicht benötigte Konten mit niedrigen Berechtigungen entfernen und Self-Registration deaktivieren.
- Logs auf AEM-Hosts auf ungewöhnliche Prozessausführungen oder befehlsbezogene Fehler prüfen.
- Advisory und KEV-Katalog auf Aktualisierungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe security bulletin APSB26-152 helpx.adobe.com
- Adobe APSB26-152 (trust page) www.adobe.com
- Zero Day Initiative: October 2026 security update review www.zerodayinitiative.com
- Tenable plugin 365771 www.tenable.com
- Strix AI: CVE-2026-103848 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:24.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.