Adobe Connect: Server-Side Request Forgery (SSRF) führt zur Rechteerweiterung
Zusammenfassung
Adobe Connect enthält eine Server-Side Request Forgery (SSRF) Schwachstelle, erfasst als CVE-2026-121889, die zu einer Rechteerweiterung führen kann. Der Angriff ist über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion möglich, und der Scope ist verändert. Das Problem ist Teil der Adobe-Sicherheitsmeldung APSB26-191, die Adobe als Priorität 2 einstuft. Adobe sind keine Angriffe in freier Wildbahn bekannt.
Betroffen
- Adobe Connect 0 bis 12.8 (gemäss CVE-Eintrag)
- Adobe Connect 0 bis 12.9 (gemäss CVE-Eintrag)
- Adobe Connect 0 bis 12.10 (gemäss CVE-Eintrag)
- Adobe Connect 0 bis 12.11 (gemäss CVE-Eintrag)
- Adobe Connect 0 bis 12.12 (gemäss CVE-Eintrag)
Plattform gemäss Adobe-Meldung: Windows.
Ein Drittanbieter-Aggregator nennt einen breiteren Bereich bis 12.12; dies konnte nicht verifiziert werden.
Behoben in
- Adobe Connect 12.8.a
- Adobe Connect 12.9.a
- Adobe Connect 12.10.f
- Adobe Connect 12.11.i
- Adobe Connect 12.12.a
Die korrigierte Version hängt vom installierten Zweig ab. Bestätigung in der Adobe-Meldung APSB26-191.
Umgehung
Unbekannt.
Ausnutzung
- Adobe sind keine Angriffe in freier Wildbahn für APSB26-191 bekannt.
- OffSeq führt diese CVE als nicht als aktiv ausgenutzt bekannt.
- Es wurde kein öffentlicher Proof of Concept gefunden. Dies beweist nicht, dass keiner existiert.
Unsere Empfehlung
- Prüfen Sie, ob ein selbst betriebener Adobe-Connect-Server im Einsatz ist und welche Version er verwendet.
- Prüfen Sie, ob der Server aus dem Internet erreichbar ist. Aus dem Internet erreichbare Server haben die höchste Priorität.
- Beschränken Sie den Zugriff auf den Connect-Server, bis das Update installiert ist.
- Installieren Sie die korrigierte Version für Ihren Zweig gemäss APSB26-191.
- Überwachen Sie die Herstellermeldung und die Logs auf ungewöhnliche ausgehende Anfragen des Servers.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-191 www.adobe.com
- CVE Record CVE-2026-121889 www.cve.org
- ZDI: November 2026 Security Update Review www.zerodayinitiative.com
- OffSeq Radar: CVE-2026-121889 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:20.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.