Adobe Experience Manager: Unzureichende Eingabevalidierung ermöglicht Codeausführung
Zusammenfassung
Adobe Experience Manager (AEM) enthält eine unzureichende Eingabevalidierung (CWE-20). Laut dem offiziellen CVE-Eintrag kann ein Angreifer mit hohen Privilegien beliebigen Code im Kontext des aktuellen Benutzers ausführen, ohne dass eine Benutzerinteraktion nötig ist, und der Scope ändert sich. Eine Drittquelle beschreibt dieselbe ID als DOM-basiertes Cross-Site Scripting, das eine Benutzerinteraktion erfordert; die genaue Art der Schwachstelle ist daher noch nicht bestätigt.
Betroffen
- AEM as a Cloud Service: Versionen 0 bis 2026.9.28187
- AEM 6.5 LTS: Versionen bis und mit 6.5 LTS SP3
- AEM 6.5: Versionen bis und mit 6.5.25
Behoben in
- AEM as a Cloud Service: 2026.9.28386
- AEM 6.5 LTS: Hotfix GRANITE-71379 für SP1, SP2 und SP3
- AEM 6.5: Hotfix GRANITE-71379 für 6.5.23, 6.5.24 und 6.5.25
Umgehung
Unbekannt.
Ausnutzung
- Adobe stuft das Bulletin APSB26-152 mit Priorität 2 ein.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Tenable und ZDI melden keine bekannte Ausnutzung.
- Für diese CVE wurde kein Eintrag im CISA-KEV-Katalog und kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Ermitteln Sie, ob Sie AEM as a Cloud Service oder die On-Premises-Versionen 6.5 / 6.5 LTS einsetzen, sowie die genaue Build-Version.
- Cloud Service: Prüfen Sie, ob der Tenant mindestens Version 2026.9.28386 verwendet.
- On-Premises: Installieren Sie den Hotfix GRANITE-71379 für Ihre Versionslinie, nachdem Sie die Zuordnung im Advisory von Adobe bestätigt haben.
- Beschränken Sie den Zugriff auf Author- und Admin-Oberflächen und überprüfen Sie privilegierte Konten, da eine Ausnutzung hohe Privilegien erfordert.
- Prüfen Sie in den kommenden Wochen erneut den CISA-KEV-Katalog und das Adobe-Advisory, da die Beschreibungen widersprüchlich sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-152 helpx.adobe.com
- Adobe Trust page APSB26-152 www.adobe.com
- CVE record mirror (Vulners) vulners.com
- Tenable plugin for APSB26-152 www.tenable.com
- HKCERT security bulletin October 2026 www.hkcert.org
- Zero Day Initiative October 2026 review www.zerodayinitiative.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:43.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.