Adobe Experience Manager: Unzureichende Eingabevalidierung führt zu Codeausführung
Zusammenfassung
Adobe Experience Manager (AEM) enthält eine Schwachstelle durch unzureichende Eingabevalidierung (CWE-20), die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Ein Angreifer mit niedrigen Berechtigungen und ohne Benutzerinteraktion kann potenziell erweiterten Zugriff oder die Kontrolle über das Benutzerkonto oder die Sitzung erlangen, wobei die Auswirkungen aufgrund der Scope-Änderung über die verwundbare Komponente hinausreichen können. Der CVSS-Basiswert beträgt 9.9 (Kritisch). Adobe meldet keine bekannte Ausnutzung, und es wurde kein öffentlicher Proof of Concept gefunden.
Betroffen
- Adobe Experience Manager 6.5: Versionen bis und mit 6.5.25 (CNA-Eintrag)
- Adobe-Bulletin APSB26-152 listet zusätzlich AEM Cloud Service 2026.9.28187 und früher, AEM 6.5 Service Pack 25 und früher sowie AEM 6.5 LTS Service Pack 3 und früher auf
- Genaue Abdeckung pro CVE noch nicht von Adobe bestätigt; die Quellen widersprechen sich
Behoben in
- AEM Cloud Service: 2026.9.28386 oder neuer
- AEM 6.5 / 6.5 LTS: Hotfix GRANITE-72352 gemäss Adobe-Bulletin; die Zuordnung des Hotfixes zu dieser CVE muss im Bulletin APSB26-152 bestätigt werden
- Hotfixes für AEM 6.5 CQ-4364862 werden im CNA-Eintrag für 6.5.23, 6.5.24 und 6.5.25 als nicht betroffen aufgeführt
Umgehung
Unbekannt.
Ausnutzung
- Adobe: keine Kenntnis von Exploits in freier Wildbahn
- ZDI (Oktober 2026): nicht ausgenutzt
- Tenable: keine bekannten Exploits
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung
- Für diese CVE wurde kein öffentlicher Proof of Concept gefunden
Unsere Empfehlung
- Alle AEM-Instanzen (Cloud Service, 6.5, 6.5 LTS) und deren genaue Versionen erfassen
- Die Adobe-Fixes aus APSB26-152 so rasch wie möglich einspielen; die Zuordnung der Hotfixes für lokal betriebene Instanzen mit dem Adobe-Support klären
- Exposition der Publish-Instanzen sowie Konten mit niedrigen Berechtigungen prüfen, einschliesslich Zugänge von Partnern, Agenturen und Auftragnehmern
- Adobe-Advisory und CISA KEV auf Änderungen des Ausnutzungsstatus überwachen
- Falls AEM durch eine Agentur oder einen Hosting-Anbieter betrieben wird, Bestätigung des Patchstands einfordern
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe security bulletin APSB26-152 www.adobe.com
- Adobe helpx advisory APSB26-152 helpx.adobe.com
- Tenable plugin 365771 www.tenable.com
- Zero Day Initiative October 2026 security update review www.zerodayinitiative.com
- CVE record copy (Vulners) vulners.com
- HKCERT Adobe monthly security update October 2026 www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:24.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.