Adobe Media Encoder: Out-of-bounds Write ermöglicht Remote Code Execution
Zusammenfassung
Adobe Media Encoder in den Versionen 26.5.2 und früher sowie 25.6.6 und früher unter Windows und macOS enthält eine Out-of-Bounds-Write-Schwachstelle (CWE-787). Ein Angreifer kann damit beliebigen Code mit den Rechten des aktuellen Benutzers ausführen. Voraussetzung ist, dass ein Opfer eine präparierte Datei öffnet, zum Beispiel eine per E-Mail, Download oder Shared Drive zugestellte Datei.
Betroffen
- Adobe Media Encoder 26.5.2 und früher (Windows und macOS)
- Adobe Media Encoder 25.6.6 und früher (Windows und macOS)
Behoben in
- Adobe Media Encoder 26.5.3
- Adobe Media Encoder 27.0
Umgehung
Kein Workaround des Herstellers bekannt. Bis zum Patch gilt:
- Nur Mediendateien aus vertrauenswürdigen Quellen öffnen.
- Arbeitsstationen mit Standardbenutzerrechten statt Administratorrechten betreiben.
Ausnutzung
- Adobe ist keine Ausnutzung der Schwachstellen dieses Updates in freier Wildbahn bekannt.
- Zum Zeitpunkt der Veröffentlichung ist keine öffentliche Ausnutzung gemeldet.
Unsere Empfehlung
- Adobe Media Encoder über Creative Cloud oder Ihre Administrationsverteilung auf 26.5.3 oder 27.0 aktualisieren.
- Arbeitsstationen priorisieren, die Dateien aus externen Quellen öffnen.
- Adobe-Bulletin APSB26-103 und den CISA-KEV-Katalog auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-103 www.adobe.com
- Strix CVE-2026-113541 www.strix.ai
- Zero Day Initiative: November 2026 Security Update Review www.zerodayinitiative.com
- OffSeq Radar: CVE-2026-113541 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:12.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.