Adobe Experience Manager: Code-Injection ermöglicht beliebige Codeausführung
Zusammenfassung
Adobe Experience Manager (AEM) als Cloud Service sowie AEM 6.5 und 6.5 LTS enthalten eine Code-Injection-Schwachstelle (CWE-94). Ein Angreifer mit Netzwerkzugriff und einem Konto mit niedrigen Berechtigungen kann Code im Kontext des aktuellen Benutzers ausführen, ohne Mitwirkung eines Benutzers und mit geändertem Scope (CVSS 9.9, kritisch). Adobe behebt die Schwachstelle im Sicherheitsbulletin APSB26-189, veröffentlicht am 10. November 2026.
Betroffen
- AEM als Cloud Service: 2026.10.29023 und früher
- AEM 6.5: Service Pack 25 und früher
- AEM 6.5 LTS: Service Pack 3 und früher
Behoben in
- AEM als Cloud Service: 2026.10.29251
- AEM 6.5: Cumulative Hotfix für GRANITE-75052 (SP23 bis SP25)
- AEM 6.5 LTS: Cumulative Hotfix für GRANITE-75052 (SP1 bis SP3)
- Hinweis: Der CVE-Eintrag nennt für 6.5 und 6.5 LTS SP3 GRANITE-75398; Hotfix-Namen vor dem Patchen im Bulletin prüfen.
Umgehung
Unbekannt. Es ist kein Workaround des Herstellers aufgeführt; die Korrektur ist einzuspielen.
Ausnutzung
- Adobe gibt an, für die Probleme in APSB26-189 keine Exploits in freier Wildbahn zu kennen.
- OffSeq (Stand 10. November 2026, Drittquelle) meldet keine bekannte Ausnutzung.
- Kein öffentlicher Proof of Concept gefunden; der Status im CISA KEV ist nicht geprüft.
Unsere Empfehlung
- Alle AEM-Instanzen und Versionen erfassen und prüfen, ob sie als Cloud Service oder als 6.5 / 6.5 LTS betrieben werden.
- Die fixe Version bzw. den kumulativen Hotfix aus APSB26-189 vorrangig einspielen.
- Author-Instanzen nicht aus dem Internet erreichbar machen; Konten mit niedrigen Berechtigungen prüfen, inklusive Selbstregistrierung.
- Logs bis zur Behebung auf ungewöhnliche Codeausführung oder unerwartete Änderungen auf AEM-Instanzen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-189 www.adobe.com
- Strix: CVE-2026-113580 www.strix.ai
- OffSeq Radar: CVE-2026-113580 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:31.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.