Adobe Media Encoder: Out-of-bounds Write ermöglicht Codeausführung
Zusammenfassung
Adobe Media Encoder in den Versionen 26.5.2 und älter sowie 25.6.6 und älter enthält eine Out-of-bounds-Write-Schwachstelle (CVE-2026-113547). Ein Angreifer kann damit beliebigen Code im Kontext des aktuellen Benutzers ausführen. Voraussetzung ist, dass ein Opfer eine manipulierte Datei öffnet, etwa eine per E-Mail erhaltene oder aus einer nicht vertrauenswürdigen Quelle heruntergeladene Datei.
Betroffen
- Adobe Media Encoder 26.5.2 und älter (Windows und macOS)
- Adobe Media Encoder 25.6.6 und älter (Windows und macOS)
Behoben in
- Adobe Media Encoder 26.5.3 für den 26.x-Zweig
- Adobe Media Encoder 27.0 für den 25.x-Zweig (gemäss CVE-Eintrag)
Umgehung
Unbekannt. Adobe nennt keine Workaround-Massnahme. Bis das Update installiert ist, sollten keine Medien- oder Projektdateien aus nicht vertrauenswürdigen Quellen geöffnet werden. Dies ist eine Übergangsmassnahme und keine vom Hersteller bestätigte Korrektur.
Ausnutzung
Adobe ist keine Ausnutzung der Schwachstellen in der Bulletin APSB26-103 in freier Wildbahn bekannt. CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar. Öffentlicher Proof of Concept: unbekannt.
Unsere Empfehlung
- Adobe Media Encoder auf 26.5.3 (26.x) bzw. 27.0 (25.x) aktualisieren, über die Creative-Cloud-Desktop-App oder das Adobe Download Center.
- Arbeitsstationen mit installiertem Media Encoder erfassen und Video-, Medien- und Marketingteams priorisieren.
- Bis zur Aktualisierung keine Dateien von unbekannten oder nicht verifizierten Absendern öffnen und verdächtige Anhänge in Quarantäne verschieben.
- Auf öffentliche Ausnutzungsberichte und Herstellerupdates achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-103 www.adobe.com
- CVE-2026-113547 record mirror (CVE.org/Adobe data) cve.threatint.com
- CVE-2026-113547 analysis (Strix) www.strix.ai
- Zero Day Initiative: November 2026 security update review www.zerodayinitiative.com
- Media Encoder release notes (Adobe) helpx.adobe.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:11.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.