Adobe Premiere Pro: Fehlende Authentifizierung für kritische Funktion
Zusammenfassung
Adobe Premiere Pro enthält eine fehlende Authentifizierungsprüfung für eine kritische Funktion, die eine Umgehung von Sicherheitsmassnahmen erlaubt. Ein erfolgreicher Angreifer kann unautorisierten Schreibzugriff auf das Dateisystem erlangen. Der CVSS-Vektor setzt lokalen Zugriff voraus, keine Berechtigungen und keine Benutzerinteraktion, und der Scope ist verändert.
Betroffen
- Adobe Premiere 26.5.2 und früher (Windows und macOS)
- Adobe Premiere 25.6.6 und früher (Windows und macOS), wie im CVE-Eintrag aufgeführt
Behoben in
- Adobe Premiere 26.5.3 (gemäss CVE-Eintrag)
- Adobe Premiere 27.0 für die Linie 25.6.6 (gemäss CVE-Eintrag)
- Nicht verifiziert: Der Bulletin-Text konnte nicht abgerufen werden, und das frühere Bulletin APSB26-157 nannte 25.6.6 als Korrektur. Die genauen korrigierten Builds in APSB26-101 vor der Verteilung bestätigen.
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers identifiziert; das Update einspielen.
Ausnutzung
- Adobe meldet keine bekannte Ausnutzung der Probleme in APSB26-101.
- Nicht im CISA-KEV-Katalog aufgeführt (gemäss Strix).
- Kein öffentlicher Proof of Concept gefunden (nicht verifiziert).
Unsere Empfehlung
- Alle Premiere-Pro-Installationen auf Arbeitsplätzen von Kreativ- oder Medienmitarbeitenden inventarisieren.
- Auf den in APSB26-101 genannten korrigierten Build aktualisieren, nachdem dieser geprüft wurde.
- Systeme priorisieren, die Projektdateien oder Medien externer Parteien öffnen.
- Lokalen Zugriff auf betroffene Arbeitsplätze einschränken, bis diese gepatcht sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-101 www.adobe.com
- CVE Record CVE-2026-110091 www.cve.org
- Strix: CVE-2026-110091 www.strix.ai
- OffSeq Radar: CVE-2026-110091 radar.offseq.com
- Zero Day Initiative: November 2026 Security Update Review www.zerodayinitiative.com
- Mallory: APSB26-101 summary mallory.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:07.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.