Adobe After Effects: Verletzung von Secure-Design-Prinzipien ermöglicht Codeausführung
Zusammenfassung
Adobe After Effects enthält eine Schwachstelle durch eine Verletzung von Secure-Design-Prinzipien (CWE-657). Ein Angreifer kann beliebigen Code mit den Rechten des angemeldeten Benutzers ausführen, wenn ein Opfer eine manipulierte Datei öffnet. Der CVSS-Vektor setzt lokalen Zugriff und keine Berechtigungen voraus, aber eine Benutzerinteraktion ist nötig, und der Scope ist als geändert markiert.
Betroffen
- Adobe After Effects 26.5 und früher (Windows und macOS)
- Adobe After Effects 25.6.6 und früher (Windows und macOS)
Behoben in
- Adobe After Effects 27.0 (für den Zweig 25.6.6 und neuer)
- Adobe After Effects 26.5.3 (für den Zweig 26.5)
- Plattformspezifische Build-Nummern: Unbekannt.
Umgehung
- Keine bekannte Workaround-Massnahme des Herstellers.
- Bis zur Installation des Updates keine Projektdateien, Vorlagen oder Plugins aus unbekannten Quellen öffnen.
Ausnutzung
- Adobe gibt an, dass keine Exploits in freier Wildbahn für die Probleme in APSB26-100 bekannt sind.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Öffentlicher Proof of Concept: Unbekannt.
Unsere Empfehlung
- After Effects gemäss Adobe-Bulletin APSB26-100 auf 27.0 oder 26.5.3 aktualisieren, über die Creative Cloud Desktop-App oder das Download Center.
- Alle Installationen von After Effects inventarisieren, inklusive Arbeitsplätze von Freelancern und Studios, und deren Versionen prüfen.
- Benutzer anweisen, bis zur Installation des Updates keine Projektdateien, Vorlagen oder Plugins aus unbekannten Quellen zu öffnen.
- Das Update zusammen mit den übrigen APSB26-100-Korrekturen priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-100 www.adobe.com
- CVE Record CVE-2026-113526 www.cve.org
- ZDI: The November 2026 Security Update Review www.zerodayinitiative.com
- Strix CVE summary CVE-2026-113526 www.strix.ai
- Adobe After Effects release notes helpx.adobe.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:08.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.