Adobe Media Encoder: Out-of-bounds Write ermöglicht Ausführung beliebigen Codes
Zusammenfassung
Adobe Media Encoder in den Versionen 26.5.2 und älter sowie 25.6.6 und älter unter Windows und macOS enthält eine Out-of-Bounds-Write-Schwachstelle (CWE-787). Öffnet ein Benutzer eine präparierte Mediendatei, kann ein Angreifer beliebigen Code im Kontext des angemeldeten Benutzers ausführen. Der Angriff erfordert keine Berechtigungen, hängt aber davon ab, dass der Benutzer die manipulierte Datei öffnet; Adobe meldet keine Ausnutzung in freier Wildbahn.
Betroffen
- Adobe Media Encoder 26.5.2 und älter (Windows und macOS)
- Adobe Media Encoder 25.6.6 und älter (Windows und macOS)
Behoben in
- Adobe Media Encoder 26.5.3 (26.5-Linie)
- Adobe Media Encoder 27.0
- 25.x: Der CVE-Eintrag nennt 27.0 als nicht betroffene Version; den Upgrade-Pfad in APSB26-103 bestätigen.
Umgehung
Unbekannt.
Ausnutzung
- Adobe erklärt, dass keine Ausnutzung der in APSB26-103 behobenen Probleme in freier Wildbahn bekannt ist.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- OffSeq (10. Nov. 2026): keine Hinweise auf Ausnutzung; kein öffentlicher Exploit-Code indexiert.
Unsere Empfehlung
- Adobe Media Encoder über Creative Cloud auf 27.0 oder 26.5.3 aktualisieren, je nach installierter Linie.
- Prüfen, auf welchen Arbeitsstationen Media Encoder installiert ist und welche Versionläuft.
- Bis zum Patch bei Mediendateien aus E-Mails, Downloads und Netzlaufwerken Vorsicht walten lassen und Dateien aus unbekannten Quellen nicht öffnen.
- Adobe-Bulletin APSB26-103 und NVD auf Updates überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-103 www.adobe.com
- CVE Record CVE-2026-113543 www.cve.org
- Zero Day Initiative: November 2026 security update review www.zerodayinitiative.com
- OffSeq threat radar: CVE-2026-113543 radar.offseq.com
- Strix CVE entry CVE-2026-113543 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:12.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.