Adobe Photoshop: Uncontrolled Recursion führt zu Denial of Service der Anwendung
Zusammenfassung
Adobe Photoshop Desktop für Windows und macOS enthält eine Schwachstelle durch Uncontrolled Recursion (CWE-674), die zum Absturz der Anwendung führen kann. Ein Angreifer kann durch eine präparierte Datei einen Denial-of-Service-Zustand auslösen, wobei das Opfer die Datei öffnen muss. Das Problem wird als mittel (CVSS 5.5) eingestuft und hat keine Auswirkungen auf Vertraulichkeit und Integrität.
Betroffen
- Adobe Photoshop 2026: 27.11 und früher (Windows und macOS)
- Adobe Photoshop 2025: 26.11.8 und früher (Windows und macOS)
Behoben in
- Adobe Photoshop 2026: Aktualisierung auf 27.11.1 oder neuer
- Adobe Photoshop 2027: Aktualisierung auf 28.0 oder neuer
- Adobe Photoshop 2025: Keine weitere Aktualisierung geplant; Wechsel auf 2026 27.11.1 oder 2027 28.0
Umgehung
- Unbekannt. Kein vom Hersteller veröffentlichter Workaround; Update einspielen.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn bekannt.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle Photoshop-2025- und 2026-Installationen inventarisieren.
- Photoshop-2025-Installationen auf 2026 27.11.1 oder 2027 28.0 migrieren, da 2025 keine weiteren Updates erhält.
- Photoshop 2026 über die Creative-Cloud-Desktop-App oder die Admin Console auf 27.11.1 oder neuer aktualisieren.
- Mitarbeitende anweisen, bis zur Aktualisierung keine unerwarteten Photoshop-Dateien aus unsicheren Quellen zu öffnen.
- Das Update im Rahmen des Adobe-Sicherheitsupdates vom November 2026 (APSB26-181) einspielen, das auch mehrere Schwachstellen mit hohem Schweregrad zur Codeausführung behebt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-181 www.adobe.com
- CVE Record CVE-2026-113578 www.cve.org
- Zero Day Initiative: November 2026 Security Update Review www.zerodayinitiative.com
- Strix AI: CVE-2026-113578 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.