Adobe Photoshop Desktop: Use-after-free ermöglicht Ausführung beliebigen Codes
Zusammenfassung
Adobe Photoshop Desktop enthält einen Use-after-free-Fehler bei der Speicherverwaltung, erfasst als CVE-2026-117546. Ein Angreifer kann beliebigen Code mit den Rechten des aktuellen Benutzers ausführen. Voraussetzung ist, dass ein Opfer eine manipulierte Datei öffnet, etwa einen E-Mail-Anhang oder eine heruntergeladene Gestaltungsdatei. Adobe behebt das Problem im Sicherheitsbulletin APSB26-181 und meldet keine bekannte Ausnutzung.
Betroffen
- Adobe Photoshop 2026: 27.11 und früher, Windows und macOS
- Adobe Photoshop 2025: 26.11.8 und früher, Windows und macOS
Behoben in
- Adobe Photoshop 2026: Aktualisierung auf 27.11.1
- Adobe Photoshop 2027: Aktualisierung auf 28.0
- Adobe Photoshop 2025 erhält keine weitere Aktualisierung; Wechsel auf Photoshop 2026 (27.11.1) oder Photoshop 2027 (28.0)
Umgehung
Unbekannt. Adobe dokumentiert in den geprüften Quellen keinen Workaround. Bis zur Installation des Updates keine Dateien von unbekannten Absendern öffnen.
Ausnutzung
- Adobe ist keine Ausnutzung der Probleme in APSB26-181 in freier Wildbahn bekannt.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher Proof of Concept bekannt.
Unsere Empfehlung
- Installierte Photoshop-Versionen prüfen und über die Creative Cloud Desktop-App oder die Admin Console auf die korrigierten Versionen aktualisieren.
- Photoshop-2025-Installationen durch Photoshop 2026 (27.11.1) oder Photoshop 2027 (28.0) ersetzen.
- Benutzer darauf hinweisen, keine unerwarteten Dateien zu öffnen, und lokale Administratorrechte auf Arbeitsstationen einschränken.
- Die Aktualisierung im üblichen monatlichen Patch-Zyklus einspielen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-181 www.adobe.com
- CVE Record CVE-2026-117546 www.cve.org
- Zero Day Initiative: November 2026 Security Update Review www.zerodayinitiative.com
- OffSeq Radar: CVE-2026-117546 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:05.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.