Adobe After Effects: Out-of-bounds Write ermöglicht Ausführung von Schadcode
Zusammenfassung
CVE-2026-113538 ist ein Out-of-bounds Write in Adobe After Effects unter Windows und macOS. Ein Angreifer kann damit beliebigen Code mit den Rechten des aktuellen Benutzers ausführen. Voraussetzung ist, dass ein Opfer eine manipulierte Datei öffnet, weshalb Phishing sowie geteilte Projekt- und Mediendateien der wahrscheinliche Angriffsweg sind.
Betroffen
- Adobe After Effects 26.5 und früher (Windows, macOS)
- Adobe After Effects 25.6.6 und früher (Windows, macOS)
Behoben in
- Adobe After Effects 26.5.3 (26.x-Linie)
- Adobe After Effects 27.0 (25.6.x-Linie)
- Behobene Versionen gemäss CVE-Eintrag von Adobe als CNA; mit dem Sicherheitsbulletin APSB26-100 abgleichen
Umgehung
Unbekannt. Ein vom Hersteller dokumentierter Workaround ist nicht bekannt.
Bis zum Patch: Projekt- und Mediendateien aus nicht vertrauenswürdigen Quellen nicht öffnen und After Effects ohne lokale Administratorrechte betreiben.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn für die Probleme im Bulletin APSB26-100 bekannt.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.
- Laut Drittanbieter-Trackern nicht im CISA KEV aufgeführt; zum Zeitpunkt der Recherche ist kein öffentlicher Exploit-Code bekannt.
Unsere Empfehlung
- Alle After-Effects-Installationen und deren Versionen erfassen.
- Über Creative Cloud oder das Adobe Download Center auf 26.5.3 oder 27.0 aktualisieren (je nach installierter Linie).
- Bis zum Patch extern bezogene Projekt- und Mediendateien als nicht vertrauenswürdig behandeln.
- Meldungen zu neuen Ausnutzungen verfolgen, da sich der Status rasch ändern kann.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-100 www.adobe.com
- CVE Record CVE-2026-113538 www.cve.org
- Zero Day Initiative: November 2026 security update review www.zerodayinitiative.com
- Strix CVE-2026-113538 www.strix.ai
- ThreatInt CVE-2026-113538 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:13.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.