Adobe Experience Manager: Umgehung einer Sicherheitsfunktion durch unzureichende Eingabevalidierung

Zusammenfassung

Adobe Experience Manager 6.5, 6.5 LTS und Cloud Service in älteren Versionen sind von einer unzureichenden Eingabevalidierung (CWE-20) betroffen. Ein Angreifer mit niedrigen Berechtigungen kann eine Sicherheitsfunktion umgehen und erhält unberechtigten, eingeschränkten Lese- und Schreibzugriff. Es ist keine Benutzerinteraktion nötig, daher ist der Angriff über das Netzwerk möglich, sofern eine betroffene Instanz erreichbar ist.

Betroffen

• Adobe Experience Manager Cloud Service: 2026.10.29023 und früher
• Adobe Experience Manager 6.5: bis 6.5.25 (CVE-Eintrag); Service Pack 25 und früher (Bulletin)
• Adobe Experience Manager 6.5 LTS: Service Pack 3 und früher (Bulletin)

Behoben in

• Cloud Service: 2026.10.29251
• 6.5: Service Pack 25 mit Cumulative Hotfix für GRANITE-75398 (im CVE-Eintrag als nicht betroffen markiert)
• 6.5 LTS: Unbekannt. Die Lösungstabelle des Bulletins markiert 6.5 und 6.5 LTS als nicht betroffen, was im Widerspruch zur Tabelle der betroffenen Versionen steht. Bei Adobe bestätigen lassen.

Umgehung

Unbekannt. Über das Einspielen des Fixes oder Hotfixes hinaus ist kein Workaround des Herstellers dokumentiert.

Ausnutzung

• Adobe ist keine Ausnutzung in freier Wildbahn bekannt.
• Nicht im CISA-KEV-Katalog aufgeführt. EPSS-Wert 0.00472.
• Stand 10. Nov. 2026 wurde kein öffentlicher Proof-of-Concept gefunden.

Unsere Empfehlung

• Alle AEM-Instanzen erfassen und feststellen, ob sie Cloud Service, 6.5 oder 6.5 LTS einsetzen.
• Aus dem Internet erreichbare Instanzen priorisieren und das Cloud-Service-Update bzw. den 6.5-Hotfix oder das Service Pack einspielen.
• Für 6.5 LTS die genaue korrigierte Version beim Adobe-Support erfragen, bevor man sich darauf verlässt.
• Zugriff auf Author- und Publish-Instanzen einschränken und Konten mit niedrigen Berechtigungen überprüfen.
• Logs auf unerwartete Lese- oder Schreibzugriffe prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Adobe Security Bulletin APSB26-189 www.adobe.com
• CVE Record CVE-2026-118482 www.cve.org
• OpenCVE CVE-2026-118482 app.opencve.io
• OffSeq Radar CVE-2026-118482 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:18.