Adobe Photoshop Desktop: Out-of-bounds Read führt zu Speicherpreisgabe
Zusammenfassung
Adobe Photoshop Desktop für Windows und macOS enthält einen Out-of-bounds Read (CWE-125), durch den sensible Speicherinhalte offengelegt werden können. Ein Angreifer kann Informationen aus dem Speicher der Anwendung auslesen, wenn er einen Benutzer dazu bringt, eine manipulierte Datei zu öffnen. Der Angriff erfordert lokalen Zugriff auf das System und eine Interaktion des Benutzers und hat keine Auswirkungen auf Integrität oder Verfügbarkeit.
Betroffen
- Photoshop 2026: 27.11 und früher (Windows und macOS)
- Photoshop 2025: 26.11.8 und früher (Windows und macOS)
Behoben in
- Photoshop 2026: 27.11.1
- Photoshop 2027: 28.0
- Photoshop 2025: kein Fix, das Produkt erhält keine weiteren Updates
Umgehung
Unbekannt.
Ausnutzung
- Adobe hat keine Kenntnis von Ausnutzungen in freier Wildbahn für die Probleme im Bulletin APSB26-181.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.
- Kein öffentlicher Proof of Concept gefunden. Dies belegt nicht, dass keiner existiert.
Unsere Empfehlung
- Alle Photoshop-Installationen erfassen.
- Photoshop-2025-Installationen ersetzen, da sie keine weiteren Fixes erhalten.
- Photoshop 2026 auf 27.11.1 bzw. Photoshop 2027 auf 28.0 aktualisieren, über die Creative Cloud Desktop-App oder die Creative Cloud Admin Console.
- Benutzer darauf hinweisen, keine Dateien von unbekannten Absendern zu öffnen, insbesondere in Design- und Druckworkflows.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-181 www.adobe.com
- CVE Record CVE-2026-115345 www.cve.org
- Adobe Photoshop security updates (helpx) helpx.adobe.com
- OffSeq Radar: CVE-2026-115345 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:13.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.