Adobe Audition: Unzureichende Eingabevalidierung ermöglicht Remote Code Execution
Zusammenfassung
Adobe Audition 26.5 und älter sowie 25.6.6 und älter unter Windows und macOS enthalten eine unzureichende Eingabevalidierung (CVE-2026-113557). Öffnet ein Benutzer eine manipulierte Datei, kann ein Angreifer beliebigen Code mit den Rechten des angemeldeten Benutzers ausführen. Der Angriff ist lokal und erfordert eine Benutzerinteraktion, durch den geänderten CVSS-Scope kann sich die Auswirkung jedoch auf weitere Komponenten ausweiten. Adobe ist kein Exploit in freier Wildbahn bekannt.
Betroffen
- Adobe Audition 26.5 und älter (Windows und macOS)
- Adobe Audition 25.6.6 und älter (Windows und macOS)
Behoben in
- Adobe Audition 26.5.3 für die 26.x-Linie
- Adobe Audition 27.0 für die 25.x-Linie (betroffen bis 25.6.6)
Umgehung
Unbekannt. Es ist kein Workaround des Herstellers bekannt. Bis zur Behebung gilt:
- Keine Media-, Projekt- oder Audiodateien von unbekannten oder nicht vertrauenswürdigen Absendern öffnen.
- Audition nicht mit lokalen Administratorrechten ausführen.
Ausnutzung
- Adobe ist kein Exploit in freier Wildbahn bekannt (APSB26-102).
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept bestätigt.
Unsere Empfehlung
- Audition auf 26.5.3 (26.x-Linie) oder 27.0 (25.x-Linie) aktualisieren, über Creative Cloud oder das Adobe Download Center.
- Arbeitsstationen mit Audition erfassen, insbesondere jene von Media-, Marketing- oder Schulungsteams.
- Bis zur Behebung das Öffnen nicht vertrauenswürdiger Dateien einschränken und auf diesen Geräten keine Administratorrechte verwenden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-102 www.adobe.com
- Strix: CVE-2026-113557 www.strix.ai
- OffSeq Radar: CVE-2026-113557 radar.offseq.com
- ZDI November 2026 security update review www.zerodayinitiative.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:06.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.