Adobe Photoshop: NULL-Pointer-Dereferenzierung ermöglicht Denial of Service
Zusammenfassung
Adobe Photoshop Desktop 27.11 und älter (Linie 2026) sowie 26.11.8 und älter (Linie 2025) unter Windows und macOS enthalten eine NULL-Pointer-Dereferenzierung (CWE-476). Ein lokaler Angreifer kann die Anwendung zum Absturz bringen, indem ein Opfer eine präparierte Datei öffnet, was einen Denial of Service verursacht. Der CVE-Eintrag beschreibt nur die Auswirkung auf die Verfügbarkeit, und es ist kein unauthentifizierter Angriffsweg aus dem Netzwerk dokumentiert. Adobe hat das Problem im Sicherheitsbulletin APSB26-181 behoben; der CVSS-3.1-Wert beträgt 5.5 (Mittel).
Betroffen
- Adobe Photoshop 2026: 27.11 und älter (Windows und macOS)
- Adobe Photoshop 2025: 26.11.8 und älter (Windows und macOS)
Behoben in
- Adobe Photoshop 2026: 27.11.1 oder neuer
- Adobe Photoshop 2027: 28.0 (im Adobe-Bulletin so benannt; der CVE-Eintrag listet 28.0 als nicht betroffen)
- Adobe Photoshop 2025: Es ist kein weiteres Update geplant; Umstieg auf Photoshop 2026 27.11.1 oder Photoshop 2027 28.0
Umgehung
Unbekannt. Es ist kein Workaround des Herstellers dokumentiert; das Einspielen des Updates ist die einzige dokumentierte Behebung.
- Bis zum Update: Bild- oder Dokumentdateien aus nicht vertrauenswürdigen Quellen nicht öffnen (allgemeine Empfehlung, keine Herstellerempfehlung).
Ausnutzung
- Adobe ist keine Ausnutzung der in diesem Update behandelten Probleme in freier Wildbahn bekannt.
- OffSeq führt die CVE als nicht bekanntermassen ausgenutzt.
- In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden. Ein Eintrag im CISA-KEV-Katalog wurde nicht gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.
Unsere Empfehlung
- Photoshop 2026 über die Creative Cloud Desktop-App oder die Admin Console auf Version 27.11.1 oder neuer aktualisieren.
- Installationen von Photoshop 2025 durch Photoshop 2026 27.11.1 oder Photoshop 2027 28.0 ersetzen, da die Version 2025 keine weiteren Updates erhält.
- Arbeitsplätze priorisieren, die Dateien von externen Kunden oder Lieferanten öffnen, sowie gemeinsam genutzte Arbeitsplätze und Austauschstationen.
- Benutzer darauf hinweisen, bis zur Installation des Updates keine Dateien aus nicht vertrauenswürdigen Quellen zu öffnen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-181 www.adobe.com
- CVE Record CVE-2026-118198 www.cve.org
- OffSeq Radar: CVE-2026-118198 radar.offseq.com
- Strix: CVE-2026-118198 www.strix.ai
- Zero Day Initiative: November 2026 security update review www.zerodayinitiative.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:11.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.