Adobe Photoshop: Out-of-Bounds Write führt zu Remote Code Execution
Zusammenfassung
Adobe Photoshop Desktop enthält eine Out-of-Bounds-Write-Schwachstelle (CWE-787), die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Die Ausnutzung erfordert eine Benutzerinteraktion: Ein Opfer muss eine manipulierte Datei öffnen. Adobe ist keine Ausnutzung dieser Schwachstellen in freier Wildbahn bekannt.
Betroffen
- Photoshop 2026: Version 27.10 und älter (Windows und macOS)
- Photoshop 2025: Version 26.11.7 und älter (Windows und macOS)
Behoben in
- Photoshop 2026: Version 27.11 (Windows und macOS)
- Photoshop 2025: Version 26.11.8 gemäss einem Drittanbieter-Titel; in der Advisory-Auszug von Adobe nicht bestätigt
- Zuordnung von CVE-2026-104346 zu einer bestimmten Korrektur: Unbekannt.
Umgehung
- Unbekannt. Es ist kein vom Hersteller dokumentierter Workaround bekannt; das Installieren des Updates ist die empfohlene Massnahme.
Ausnutzung
- Adobe erklärt, dass keine Ausnutzung von Schwachstellen dieses Updates in freier Wildbahn bekannt ist.
- Öffentlicher Proof of Concept: Unbekannt.
- Laut einem Drittanbieter-Tracker nicht im CISA KEV; nicht direkt überprüft.
Unsere Empfehlung
- Photoshop 2026 auf Version 27.11 und Photoshop 2025 auf die neueste 26.11.x-Version aktualisieren, über die Creative Cloud Desktop-App oder die Admin Console.
- Arbeitsplätze priorisieren, auf denen externe Dateien wie E-Mail-Anhänge oder Downloads geöffnet werden.
- Sicherstellen, dass Benutzer Updates nicht umgehen oder aufschieben können.
- Die Version für Photoshop 2025 im vollständigen Adobe-Advisory APSB26-158 prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-158 www.adobe.com
- Zero Day Initiative: October 2026 Security Update Review www.zerodayinitiative.com
- Strix AI: CVE-2026-104346 www.strix.ai
- OffSeq Radar: CVE-2026-104346 radar.offseq.com
- Nessus plugin mirror: APSB26-158 (macOS) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 00:07.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.