Adobe Photoshop: Heap-based Buffer Overflow ermöglicht Codeausführung
Zusammenfassung
Ein Heap-based Buffer Overflow in Adobe Photoshop Desktop kann ausgenutzt werden, wenn eine manipulierte Datei geöffnet wird. Ein erfolgreicher Angreifer kann beliebigen Code mit den Rechten des aktuellen Benutzers ausführen. Der Angriff setzt voraus, dass ein Opfer die Datei öffnet, daher handelt es sich um ein lokales, benutzerausgelöstes Risiko, das nicht über das Netzwerk erreichbar ist.
Betroffen
- Photoshop 2026 (27.11 und früher), Windows und macOS
- Photoshop 2025 (26.11.8 und früher), Windows und macOS
Behoben in
- Photoshop 2026: Aktualisierung auf 27.11.1
- Photoshop 2027: Aktualisierung auf 28.0
- Photoshop 2025: Keine weitere Aktualisierung geplant; Wechsel auf Photoshop 2026 (27.11.1) oder Photoshop 2027 (28.0)
Umgehung
Unbekannt. Es ist kein Workaround des Herstellers dokumentiert.
Temporäre Massnahme bis zur Behebung: Keine Photoshop-Dateien aus unbekannten oder nicht vertrauenswürdigen Quellen öffnen.
Ausnutzung
- Adobe ist keine Ausnutzung der im Advisory APSB26-181 behandelten Probleme in freier Wildbahn bekannt.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.
- Zum Zeitpunkt der Erstellung ist kein öffentlicher Proof of Concept bekannt.
Unsere Empfehlung
- Alle Photoshop-Installationen und deren Zweig (2025, 2026 oder 2027) erfassen.
- Photoshop 2026 auf 27.11.1 bzw. Photoshop 2027 auf 28.0 über die Creative-Cloud-Desktop-App oder Ihr Software-Verwaltungswerkzeug aktualisieren.
- Installationen von Photoshop 2025 auf eine unterstützte Version migrieren.
- Bis zur Behebung das Öffnen von Dateien aus nicht vertrauenswürdigen Quellen einschränken, insbesondere E-Mail-Anhänge und Downloads.
- Advisory und CVE-Eintrag auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-181 www.adobe.com
- CVE Record CVE-2026-116480 www.cve.org
- ZDI November 2026 security update review www.zerodayinitiative.com
- OffSeq Radar CVE-2026-116480 radar.offseq.com
- Strix CVE-2026-116480 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:04.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.