Adobe Connect: Serverseitige Anfrageweiterleitung ermöglicht Rechteausweitung

Zusammenfassung

Adobe Connect enthält eine Schwachstelle vom Typ Server-Side Request Forgery (SSRF) (CVE-2026-121356), die zu einer Rechteausweitung führen kann. Für den Angriff ist keine Benutzerinteraktion nötig, und der CVSS-Basiswert beträgt 10.0 (Kritisch). Laut dem CVE-Eintrag von Adobe betrifft die Lücke Windows-Installationen von Adobe Connect bis Version 12.12; ein Angreifer mit Netzwerkzugriff könnte den Server missbrauchen, um auf Ressourcen zuzugreifen, die ihm nicht zustehen, und seine Rechte erweitern.

Betroffen

• Adobe Connect 0 bis 12.8 (laut CVE-Eintrag)
• Adobe Connect 0 bis 12.9 (laut CVE-Eintrag)
• Adobe Connect 0 bis 12.10 (laut CVE-Eintrag)
• Adobe Connect 0 bis 12.11 (laut CVE-Eintrag)
• Adobe Connect 0 bis 12.12 (laut CVE-Eintrag)
• Plattform laut Adobe-Bulletin APSB26-191: Windows

Behoben in

• Adobe Connect 12.8.a
• Adobe Connect 12.9.a
• Adobe Connect 12.10.f
• Adobe Connect 12.11.i
• Adobe Connect 12.12.a
• Quelle: Einträge im CVE-Eintrag; die korrigierte Version für diese CVE sollte vor dem Patchen im Bulletin APSB26-191 bestätigt werden.

Umgehung

Unbekannt. Für diese CVE wurde keine vom Hersteller dokumentierte Workaround-Massnahme gefunden. Bis zur Installation eines Updates sollte der externe Zugriff auf den Adobe-Connect-Server auf das Notwendige beschränkt werden.

Ausnutzung

• Adobe meldet, dass keine Ausnutzung der im Bulletin APSB26-191 behobenen Probleme in freier Wildbahn bekannt ist.
• In unserer Recherche wurde kein öffentlicher Proof of Concept gefunden. Exploit-Datenbanken wurden nicht direkt geprüft, daher ist dies kein Beleg dafür, dass keiner existiert.
• Angriffsvoraussetzungen laut CVSS: Netzwerkzugriff, geringe Komplexität, keine Berechtigungen, keine Benutzerinteraktion.

Unsere Empfehlung

• Alle Adobe-Connect-Server und -Clients inklusive der genauen Build-Versionen erfassen.
• Aus dem Internet erreichbare Connect-Server zuerst patchen und die installierte Version anschliessend überprüfen.
• Die korrigierte Version für CVE-2026-121356 im Bulletin APSB26-191 im Adobe Trust Center bestätigen.
• Den externen Zugriff auf Connect-Server bis zum Patch einschränken.
• NVD erneut prüfen, sobald die CVE analysiert wurde, da der Status derzeit Received lautet.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Adobe Security Bulletin APSB26-191 www.adobe.com
• CVE Record CVE-2026-121356 www.cve.org
• ZDI: November 2026 Security Update Review www.zerodayinitiative.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:22.