Adobe Photoshop: Lesen ausserhalb der Speichergrenzen in Photoshop Desktop
Zusammenfassung
Adobe Photoshop Desktop unter Windows und macOS enthält eine Schwachstelle vom Typ Out-of-bounds Read (CWE-125), die zur Offenlegung sensibler Speicherinhalte führen kann. Ein Angreifer kann sie ausnutzen, indem er ein Opfer dazu bringt, eine manipulierte Datei zu öffnen, was eine Benutzerinteraktion erfordert. Betroffen sind Photoshop 2026 bis Version 27.11 und Photoshop 2025 bis Version 26.11.8; Adobe meldet keine bekannte Ausnutzung in freier Wildbahn.
Betroffen
- Adobe Photoshop 2026: 27.11 und früher (Windows und macOS)
- Adobe Photoshop 2025: 26.11.8 und früher (Windows und macOS)
Behoben in
- Adobe Photoshop 2026: 27.11.1 oder neuer
- Adobe Photoshop 2027: 28.0 oder neuer
- Adobe Photoshop 2025: kein Fix, da keine weiteren Updates mehr erscheinen
Umgehung
Unbekannt.
- Keine vom Hersteller dokumentierte Workaround-Massnahme. Bis zur Behebung Photoshop-Dateien (PSD) und andere Bilddateien aus unbekannten oder nicht vertrauenswürdigen Quellen als verdächtig behandeln.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn bekannt.
- Drittanbieter-Tracker führen die Schwachstelle als nicht bekannt ausgenutzt.
- Laut Strix nicht im CISA-KEV-Katalog enthalten.
- Öffentlicher Proof of Concept: keiner gefunden.
Unsere Empfehlung
- Alle Photoshop-Installationen über die Creative Cloud Desktop-App auf 27.11.1 oder 28.0 aktualisieren.
- Photoshop-2025-Installationen identifizieren und auf Photoshop 2026 27.11.1 oder Photoshop 2027 28.0 migrieren, da sie keine Fixes mehr erhalten.
- Eine Richtlinie anwenden, wonach Dateien nur aus vertrauenswürdigen Quellen geöffnet werden, insbesondere E-Mail-Anhänge und Downloads.
- Das Update nicht aufschieben, da es auch weitere Photoshop-Schwachstellen im selben Bulletin behebt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-118200 www.cve.org
- Adobe Security Bulletin APSB26-181 www.adobe.com
- HKCERT Adobe monthly security update November 2026 www.hkcert.org
- ZDI November 2026 security update review www.zerodayinitiative.com
- OffSeq threat entry CVE-2026-118200 radar.offseq.com
- Strix CVE-2026-118200 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:12.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.