Adobe Experience Manager: Code-Injection führt zu beliebiger Codeausführung
Zusammenfassung
Adobe Experience Manager (AEM) enthält eine Code-Injection-Schwachstelle (CWE-94), die beliebige Codeausführung im Kontext des aktuellen Benutzers ermöglicht. Ein Angreifer mit einem Konto mit niedrigen Berechtigungen aus dem Netzwerk kann die Schwachstelle ohne Benutzerinteraktion ausnutzen, und der Umfang der Auswirkungen wird dabei verändert. Der CVSS-Basiswert beträgt 9.9 (kritisch). Adobe hat in APSB26-189 Korrekturen veröffentlicht.
Betroffen
- AEM as a Cloud Service: 0 bis 2026.10.29023 (laut offiziellem CVE-Eintrag)
- AEM 6.5: 0 bis 6.5.25
- AEM 6.5 LTS: 0 bis 6.5 LTS SP3
Behoben in
- AEM as a Cloud Service: 2026.10.29251
- AEM 6.5: Cumulative Hotfix für GRANITE-75052 (Service Packs 23 bis 25); der offizielle CVE-Eintrag nennt GRANITE-75398, daher den Hotfix-Namen in APSB26-189 überprüfen
- AEM 6.5 LTS: Cumulative Hotfix für GRANITE-75052 (Service Packs 1 bis 3); der offizielle CVE-Eintrag nennt GRANITE-75398, daher den Hotfix-Namen in APSB26-189 überprüfen
Umgehung
Unbekannt.
Ausnutzung
- Adobe ist keine Ausnutzung der Probleme in APSB26-189 in freier Wildbahn bekannt.
- Kein öffentlicher Proof of Concept identifiziert.
Unsere Empfehlung
- Prüfen Sie, ob Ihre AEM-Instanzen als Cloud Service oder als On-Premise-Version 6.5 / 6.5 LTS betrieben werden, und vergleichen Sie die Versionen mit den betroffenen Bereichen.
- Spielen Sie das Cloud-Service-Release 2026.10.29251 oder den Hotfix aus APSB26-189 vorrangig ein.
- Beschränken Sie bis zur Korrektur den Zugriff auf AEM-Author-Instanzen und überprüfen Sie Konten mit niedrigen Berechtigungen.
- Entfernen Sie nicht benötigte Konten und überwachen Sie Server-Logs auf ungewöhnliche Skript- oder Codeausführung.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-189 www.adobe.com
- OffSeq threat radar: CVE-2026-113579 radar.offseq.com
- Strix: CVE-2026-113579 www.strix.ai
- Zero Day Initiative: November 2026 security update review www.zerodayinitiative.com
- AEM Cloud Service maintenance release notes experienceleague.adobe.com
- AEM release updates roadmap experienceleague.adobe.com
- Stack.watch: Adobe Experience Manager stack.watch
- EUVD-2026-113579 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:30.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.