Adobe Photoshop: Dereferenzierung eines NULL-Zeigers ermöglicht Denial of Service
Zusammenfassung
Adobe Photoshop 2025 und 2026 enthalten eine Dereferenzierung eines NULL-Zeigers (CWE-476), durch die die Anwendung abstürzen kann. Ein Angreifer benötigt lokalen Zugriff und muss einen Benutzer dazu bringen, eine manipulierte Datei zu öffnen, zum Beispiel eine per E-Mail erhaltene oder heruntergeladene Datei. Die CVE ist nur für einen Denial of Service der Anwendung bewertet. Die Korrektur ist im Sicherheitsupdate APSB26-181 vom 10. November 2026 enthalten.
Betroffen
- Adobe Photoshop 2026: 27.11 und früher (Windows und macOS)
- Adobe Photoshop 2025: 26.11.8 und früher (Windows und macOS)
- Linux ist nicht aufgeführt.
Behoben in
- Adobe Photoshop 2026: Update auf 27.11.1
- Adobe Photoshop 2027: Update auf 28.0
- Für Photoshop 2025 wird kein weiteres Update erscheinen. Adobe empfiehlt Benutzern von 2025, auf Photoshop 2026 27.11.1 oder Photoshop 2027 28.0 zu wechseln.
- Der CVE-Eintrag nennt 28.0 für den Bereich 2025, was vom Wortlaut des Advisories abweicht. Unbekannt, ob dies so beabsichtigt ist.
Umgehung
Unbekannt. Es wurde keine vom Hersteller dokumentierte Massnahme gefunden.
- Übergangsmassnahme: Photoshop-Dateien nur von vertrauenswürdigen Absendern öffnen, bis das Update installiert ist.
Ausnutzung
- Adobe ist keine Ausnutzung der in APSB26-181 behobenen Schwachstellen in freier Wildbahn bekannt.
- OffSeq führt diese CVE als nicht bekanntermassen ausgenutzt (Evidenzbewertung: dünn).
- Es wurde kein öffentlicher Proof of Concept gefunden. Dies ist keine bestätigte Abwesenheit.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
Unsere Empfehlung
- Das Photoshop-Update über die Creative-Cloud-Desktop-App installieren oder in verwalteten Umgebungen über die Admin Console verteilen. Das gesamte Bulletin APSB26-181 einspielen.
- Installationen von Photoshop 2025 priorisieren und auf eine unterstützte Version migrieren.
- Benutzer darauf hinweisen, in Design-Anwendungen keine unbekannten Dateien zu öffnen.
- Die höchste Bewertung des Bulletins ist High (7.8). Diese CVE allein ist Medium (5.5).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-181 www.adobe.com
- CVE Record CVE-2026-113571 www.cve.org
- OffSeq Radar: CVE-2026-113571 radar.offseq.com
- ZDI: November 2026 Security Update Review www.zerodayinitiative.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:15.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.