Adobe After Effects: Out-of-bounds Write ermöglicht Codeausführung
Zusammenfassung
Ein Out-of-bounds Write in Adobe After Effects kann zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen. Ein Angreifer muss ein Opfer dazu bringen, eine manipulierte Datei zu öffnen, zum Beispiel eine Projektdatei aus einer E-Mail oder aus einer unbekannten Quelle. Die Schwachstelle wird als High (CVSS 7.8) eingestuft und ist im Sicherheitsbulletin APSB26-100 von Adobe adressiert.
Betroffen
- Adobe After Effects 26.5 und früher (Windows und macOS)
- Adobe After Effects 25.6.6 und früher (Windows und macOS)
Behoben in
- Adobe After Effects 26.5.3 oder neuer für die Linie 26.x
- Adobe After Effects 27.0 für die Linie 25.x (die Linie 25.x wird durch den Wechsel auf 27.0 behoben, nicht durch einen Patch der Version 25.6.x)
Umgehung
Unbekannt. Es wurde keine vom Hersteller dokumentierte Umgehungsmassnahme gefunden; das Update ist anzuwenden.
Ausnutzung
- Adobe gibt an, dass ihr keine Exploits in freier Wildbahn für die Probleme in APSB26-100 bekannt sind.
- CISA-SSVC-Bewertung: Exploitation none, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher Proof-of-Concept gefunden.
Unsere Empfehlung
- Die installierte Version von After Effects auf allen Kreativ-Arbeitsplätzen prüfen und mit den betroffenen Bereichen vergleichen.
- Im normalen Patch-Zyklus auf 26.5.3 oder neuer der Linie 26.x beziehungsweise auf 27.0 der Linie 25.x aktualisieren, nachdem die Versionen in APSB26-100 geprüft wurden.
- Mitarbeitende anweisen, unerwartete Projektdateien oder Archive aus E-Mails oder unbekannten Quellen nicht zu öffnen, und Projektdateien über einen kontrollierten Kanal austauschen.
- Auf Herstellerupdates und neue Berichte über Ausnutzung achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-100 www.adobe.com
- CVE Record CVE-2026-113525 (CNA: Adobe) www.cve.org
- Zero Day Initiative: The November 2026 Security Update Review www.zerodayinitiative.com
- Strix CVE mirror CVE-2026-113525 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:16.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.