Adobe Photoshop: Out-of-bounds-Write erlaubt Ausführung von beliebigem Code
Zusammenfassung
Ein Out-of-Bounds-Write in Adobe Photoshop Desktop kann dazu missbraucht werden, beliebigen Code im Kontext des aktuellen Benutzers auszuführen. Der Angriff erfordert, dass das Opfer eine manipulierte Datei öffnet; ein Login ist nicht nötig, der Angriff ist aber lokal und die Software ist nicht aus dem Internet erreichbar. Der CVSS-Basiswert beträgt 7.8 (hoch). Die Schwachstelle ist Teil des Sicherheitsbulletins APSB26-181 von Adobe.
Betroffen
- Adobe Photoshop 2026 (27.11 und früher) unter Windows und macOS
- Adobe Photoshop 2025 (26.11.8 und früher) unter Windows und macOS
Behoben in
- Adobe Photoshop 2026: Aktualisierung auf 27.11.1
- Adobe Photoshop 2027: Aktualisierung auf 28.0
- Adobe Photoshop 2025: Es wird kein weiteres Update bereitgestellt; Wechsel auf Photoshop 2026 (27.11.1) oder Photoshop 2027 (28.0)
Umgehung
- Unbekannt. Die Quellen nennen keine Workaround.
Ausnutzung
- Adobe ist keine Ausnutzung der Schwachstellen in APSB26-181 in freier Wildbahn bekannt.
- Ausnutzungsstatus gemäss CISA SSVC: keiner.
- Öffentlicher Proof of Concept: Unbekannt.
Unsere Empfehlung
- Photoshop über Creative Cloud auf 27.11.1 oder 28.0 aktualisieren und das Update auf alle Installationen ausrollen, auch auf verwalteten Geräten über die Admin Console.
- Photoshop 2025 ersetzen, da dafür keine weiteren Sicherheitsupdates mehr erscheinen.
- Das Öffnen unverlangter Dateien aus E-Mails und Downloads einschränken und Photoshop mit Standardbenutzerrechten betreiben.
- Auf ungewöhnliche Photoshop-Abstürze oder von Photoshop gestartete Prozesse achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-116003 (CNA: Adobe) www.cve.org
- Adobe Security Bulletin APSB26-181 www.adobe.com
- ZDI November 2026 security update review www.zerodayinitiative.com
- OffSeq record CVE-2026-116003 radar.offseq.com
- Strix record CVE-2026-116003 www.strix.ai
- Adobe Photoshop security bulletins (Admin Console deployment) helpx.adobe.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:06.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.