Adobe Photoshop: Heap-basierter Pufferüberlauf ermöglicht Codeausführung
Zusammenfassung
Ein heap-basierter Pufferüberlauf in Adobe Photoshop Desktop kann durch das Öffnen einer präparierten Datei ausgelöst werden. Ein Angreifer, der einen Benutzer zum Öffnen einer solchen Datei bringt, kann Code mit den Rechten des angemeldeten Benutzers ausführen. Der Angriff erfordert lokalen Zugriff und eine Benutzerinteraktion, typischerweise über eine schädliche Datei aus E-Mail, Download oder Shared Drive.
Betroffen
- Adobe Photoshop 2026 (27.11 und früher), Windows und macOS
- Adobe Photoshop 2025 (26.11.8 und früher), Windows und macOS
- Der CVE-Eintrag nennt zusätzlich betroffene Versionen 0 bis <= 26.11.8 und 0 bis <= 27.11.
Behoben in
- Adobe Photoshop 2026: 27.11.1
- Adobe Photoshop 2027: 28.0
- Adobe Photoshop 2025 erhält kein weiteres Update; Kunden müssen auf Photoshop 2026 27.11.1 oder Photoshop 2027 28.0 wechseln.
- Hinweis: Der CVE-Eintrag nennt 28.0 als nicht betroffene Version für den 26.x-Zweig, was dem Bulletin widerspricht. Mit APSB26-181 überprüfen.
Umgehung
Unbekannt. Es ist keine dokumentierte Workaround-Massnahme bekannt; das Aktualisieren ist die primäre Lösung.
Ausnutzung
- Adobe ist keine Ausnutzung der Probleme aus APSB26-181 in freier Wildbahn bekannt.
- Laut Aggregatordaten nicht im CISA-KEV-Katalog gelistet.
- Kein öffentlicher Proof of Concept gefunden; als unbekannt und nicht als bestätigt nicht vorhanden behandeln.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Adobe Photoshop über Creative Cloud aktualisieren (2026 auf 27.11.1 bzw. 2027 auf 28.0); in verwalteten Umgebungen die Admin Console verwenden.
- Photoshop 2025 durch eine unterstützte Version ersetzen.
- Bis zur Aktualisierung keine PSD- oder Bilddateien aus unsicheren E-Mails, Downloads oder Shared Drives öffnen.
- Photoshop nach Möglichkeit mit einem Standardbenutzerkonto betreiben.
- Das Adobe-Bulletin und den KEV-Status in den kommenden Tagen erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-181 www.adobe.com
- CVE Record CVE-2026-113575 (CVE.org) www.cve.org
- ZDI November 2026 Security Update Review www.zerodayinitiative.com
- Strix AI CVE-2026-113575 www.strix.ai
- OffSeq Radar CVE-2026-113575 radar.offseq.com
- Adobe Photoshop security page (helpx) helpx.adobe.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:06.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.