Adobe After Effects: Out-of-Bounds-Schreibzugriff ermöglicht Codeausführung
Zusammenfassung
Adobe After Effects enthält eine Schwachstelle durch einen Out-of-Bounds-Schreibzugriff (CWE-787, CVE-2026-113517), die zur Ausführung beliebigen Codes führen kann. Der Code läuft mit den Rechten des angemeldeten Benutzers. Für eine Ausnutzung muss ein Opfer eine präparierte Datei in After Effects öffnen, daher entsteht das Risiko vor allem durch Projekt- oder Mediendateien aus nicht vertrauenswürdigen Quellen.
Betroffen
- Adobe After Effects 26.5 und früher (Windows und macOS)
- Adobe After Effects 25.6.6 und früher (Windows und macOS)
Behoben in
- Adobe After Effects 26.5.3 (für die 26.x-Linie)
- Adobe After Effects 27.0 (für die 25.6.x-Linie)
Umgehung
Unbekannt. Für diese CVE ist kein Workaround durch den Hersteller veröffentlicht. Übergangsmassnahmen bis zur Installation des Updates:
- Projekt- oder Mediendateien aus nicht vertrauenswürdigen Quellen nicht öffnen.
- Festlegen, welche Benutzer solche Dateien erhalten dürfen.
- Die Creative Cloud Desktop-App mit automatischen Updates betreiben.
Ausnutzung
- Adobe gibt an, dass keine Exploits in freier Wildbahn für die Probleme im Bulletin APSB26-100 bekannt sind.
- CISA-SSVC-Bewertung: Exploitation none, automatisierbar nein, technische Auswirkung total.
- Status im CISA-KEV-Katalog nicht verifiziert.
- Öffentlicher Proof of Concept: unbekannt.
Unsere Empfehlung
- After Effects auf allen Arbeitsstationen mit Installation auf 26.5.3 oder 27.0 aktualisieren, je nach installierter Version.
- Rechner priorisieren, auf denen Dateien externer Parteien geöffnet werden, etwa von Freelancern oder aus E-Mail-Anhängen.
- Benutzer anweisen, unerwartete Projekt- oder Mediendateien nicht zu öffnen.
- Auf öffentlichen Proof-of-Concept-Code sowie auf NVD-Analysen und KEV-Aktualisierungen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-100 www.adobe.com
- CVE Record CVE-2026-113517 www.cve.org
- Zero Day Initiative November 2026 security update review www.zerodayinitiative.com
- Strix CVE-2026-113517 overview www.strix.ai
- Adobe Security Bulletins for After Effects helpx.adobe.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:15.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.