Adobe Experience Manager: Fehlerhafte Berechtigungsprüfung ermöglicht Codeausführung
Zusammenfassung
Adobe Experience Manager (AEM) enthält eine Schwachstelle durch fehlerhafte Berechtigungsprüfung (CWE-863), die zur beliebigen Codeausführung im Kontext des aktuellen Benutzers führen kann. Ein Angreifer mit niedrigen Berechtigungen kann sie ohne Benutzerinteraktion ausnutzen, und der Scope ist verändert (CVSS 3.1 9.9, kritisch). Adobe gibt an, dass keine Ausnutzung in freier Wildbahn bekannt ist.
Betroffen
- AEM as a Cloud Service: 2026.10.29023 und früher
- AEM 6.5: Service Pack 25 und früher
- AEM 6.5 LTS: Service Pack 3 und früher
- Hinweis: Der CNA-Eintrag führt 6.5 LTS SP3 als betroffen auf, während Adobes früheres APSB26-98 es als korrigierte Version nennt. Bitte anhand von APSB26-189 prüfen.
Behoben in
- AEM as a Cloud Service: 2026.10.29251
- AEM 6.5 (SP23 bis SP25): Cumulative Hotfix for GRANITE-75052
- AEM 6.5 LTS (SP1 bis SP3): Cumulative Hotfix for GRANITE-75052
- Der CNA-Eintrag nennt für den 6.5-Hotfix GRANITE-75398. Den korrekten Hotfix im Advisory bestätigen.
Umgehung
Unbekannt. In den geprüften Quellen ist kein Workaround des Herstellers dokumentiert. Bis zum Patch den Zugriff auf AEM-Author- und Publish-Instanzen einschränken und Konten mit niedrigen Berechtigungen begrenzen.
Ausnutzung
- Adobe ist keine Ausnutzung der Probleme aus APSB26-189 in freier Wildbahn bekannt.
- Zum Zeitpunkt der Veröffentlichung wurde kein öffentlicher Proof of Concept gefunden.
- Die geprüften Quellen führen diese CVE nicht als bekannt ausgenutzt.
Unsere Empfehlung
- Alle AEM-Instanzen identifizieren, einschliesslich Cloud Service sowie On-Premises 6.5 und 6.5 LTS.
- Cloud Service auf 2026.10.29251 aktualisieren und den GRANITE-75052-Hotfix on-premises einspielen, nachdem die Angaben in APSB26-189 bestätigt sind.
- Bis zur Behebung den Zugriff auf Author- und Publish-Instanzen einschränken und Konten mit niedrigen Berechtigungen sowie selbst registrierte Konten prüfen.
- Auf Anzeichen einer Ausnutzung achten und das Advisory sowie den Ausnutzungsstatus regelmässig überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-189 www.adobe.com
- strix.ai CVE-2026-114371 www.strix.ai
- Offseq threat radar CVE-2026-114371 radar.offseq.com
- Adobe Security Bulletin APSB26-98 helpx.adobe.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:32.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.