Adobe Connect: Fehlende Autorisierungsprüfung führt zu Rechteausweitung
Zusammenfassung
Adobe Connect enthält eine Schwachstelle durch fehlerhafte Autorisierung (CWE-863), die gemäss dem CVE-Eintrag von Adobe zu einer Rechteausweitung führen kann. Adobe stuft das Problem als kritisch ein (CVSS-3.1-Basiswert 9.1) und schreibt, ein Angreifer könnte dadurch erhöhten Zugriff auf sensible Informationen oder Funktionen erlangen. Der Vektor zeigt, dass die Schwachstelle über das Netzwerk ohne Rechte und ohne Benutzerinteraktion erreichbar ist; die genauen Voraussetzungen sind jedoch noch nicht durch das Adobe-Advisory bestätigt, das nicht abgerufen werden konnte.
Betroffen
- Adobe Connect 12.12 und älter (Windows, gemäss Adobe-Advisory APSB26-191)
- Bereiche im CVE-Eintrag: betroffen 0 bis <=12.8, <=12.9, <=12.10, <=12.11 und <=12.12
Behoben in
- Adobe Connect 12.12.a
- Adobe Connect 12.11.i
- Adobe Connect 12.10.f
- Adobe Connect 12.9.a
- Adobe Connect 12.8.a
Umgehung
- Keine Workaround des Herstellers bekannt.
- Den Netzwerkzugriff auf Adobe-Connect-Server einschränken (VPN oder Allow-Listing bei selbst betriebenen Instanzen).
Ausnutzung
- Adobe ist keine Ausnutzung der Schwachstellen in APSB26-191 in freier Wildbahn bekannt.
- Nicht im CISA-KEV-Katalog aufgeführt; am 10. November 2026 war kein öffentlicher Exploit-Code bekannt (Daten Dritter vom Veröffentlichungstag).
Unsere Empfehlung
- Selbst betriebene Adobe-Connect-Installationen so rasch wie möglich auf die korrigierte Version der eigenen Linie aktualisieren (12.8.a, 12.9.a, 12.10.f, 12.11.i oder 12.12.a).
- Bis zur Korrektur den Kreis der Personen einschränken, die den Connect-Server erreichen können, und Administrations- sowie Rollenzuweisungen prüfen.
- Protokolle auf unerwartete Änderungen von Rollen oder Berechtigungen prüfen und den CISA-KEV-Katalog in den kommenden Tagen erneut kontrollieren.
- Wer nur die von Adobe gehostete Connect-Version nutzt, sollte den Update-Status bei Adobe bestätigen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-191 www.adobe.com
- Strix CVE page CVE-2026-121355 www.strix.ai
- OffSeq CVE page CVE-2026-121355 radar.offseq.com
- ZDI November 2026 security update review www.zerodayinitiative.com
- Adobe Security Bulletin APSB26-150 (prior bulletin) helpx.adobe.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:37.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.