Adobe Connect: Unzureichende Beschränkung von XML External Entity References (XXE)
Zusammenfassung
Adobe Connect enthält eine XML External Entity (XXE) Injection-Schwachstelle (CVE-2026-121887, CVSS 9.9). Ein Angreifer mit einem Konto mit niedrigen Rechten kann präparierte XML-Daten an den Server senden, was zur Ausführung von beliebigem Code im Kontext des aktuellen Benutzers führen kann, wobei der Scope verändert wird. Es ist keine Benutzerinteraktion nötig.
Betroffen
- Adobe Connect 0 bis 12.8 (CNA-Eintrag, behoben in 12.8.a)
- Adobe Connect 0 bis 12.9 (CNA-Eintrag, behoben in 12.9.a)
- Adobe Connect 0 bis 12.10 (CNA-Eintrag, behoben in 12.10.f)
- Adobe Connect 0 bis 12.11 (CNA-Eintrag, behoben in 12.11.i)
- Adobe Connect 0 bis 12.12 (CNA-Eintrag, behoben in 12.12.a)
- Das Bulletin APSB26-191 nennt Adobe Connect 12.12 und früher unter Windows
Behoben in
- Adobe Connect 12.8.a
- Adobe Connect 12.9.a
- Adobe Connect 12.10.f
- Adobe Connect 12.11.i
- Adobe Connect 12.12.a
- Die behobene Version für jede Release-Linie direkt im Bulletin APSB26-191 prüfen.
Umgehung
Unbekannt. Für diese CVE ist kein Workaround des Herstellers dokumentiert.
- Den Zugriff auf Adobe-Connect-Server aus dem Internet einschränken.
- Nicht benötigte Konten entfernen, insbesondere Gast- und Konten ehemaliger Mitarbeitender.
- Logs auf ungewöhnliche XML- oder Upload-Aktivitäten prüfen.
Ausnutzung
- Adobe ist keine Ausnutzung der Schwachstellen aus dem Bulletin APSB26-191 in freier Wildbahn bekannt.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof-of-Concept gefunden.
- Die CVE wurde am 10. November 2026 veröffentlicht, daher kann sich der Status rasch ändern.
Unsere Empfehlung
- Alle Adobe-Connect-Server und Clients mit exakten Versionen inventarisieren.
- Aus dem Internet erreichbare, selbst betriebene Server zuerst auf die behobene Version des jeweiligen Release-Zweigs patchen.
- Wenn das Patchen verzögert ist, den Zugriff auf den Server einschränken und nicht benötigte Konten entfernen.
- Logs auf ungewöhnliche XML-Verarbeitung überwachen und NVD sowie das Adobe-Advisory auf Updates prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record CVE-2026-121887 www.cve.org
- Adobe Security Bulletin APSB26-191 www.adobe.com
- Strix CVE-2026-121887 www.strix.ai
- OffSeq CVE-2026-121887 radar.offseq.com
- ZDI November 2026 security update review www.zerodayinitiative.com
- Adobe Security Bulletin APSB26-150 (earlier) helpx.adobe.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:24.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.