Adobe Connect: Code-Injection ermöglicht beliebige Codeausführung
Zusammenfassung
Adobe Connect enthält eine Code-Injection-Schwachstelle (CWE-94), die zur beliebigen Codeausführung im Kontext des aktuellen Benutzers führen kann. Ein Angreifer mit einem Konto mit niedrigen Rechten, der den Server über das Netzwerk erreichen kann, kann die Schwachstelle ohne Benutzerinteraktion ausnutzen, und die Auswirkungen können über die verwundbare Komponente hinausreichen (Scope geändert). Adobe stuft das Problem als kritisch mit einem CVSS-3.1-Basiswert von 9.9 ein.
Betroffen
- Adobe Connect 12.12 und früher (Windows)
- CNA-Eintrag: Versionen 0 bis 12.8, 0 bis 12.9, 0 bis 12.10, 0 bis 12.11 und 0 bis 12.12 sind betroffen
Behoben in
- Adobe Connect 12.12.a (Windows)
- Adobe Connect 12.11.i (Windows)
- Adobe Connect 12.10.f (Windows)
- Adobe Connect 12.9.a (Windows)
- Adobe Connect 12.8.a (Windows)
Umgehung
Unbekannt.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn für die Probleme in APSB26-191 bekannt, einschliesslich dieser CVE.
- Bisher wurde kein öffentlicher Proof of Concept gefunden. Dies ist keine bestätigte Abwesenheit.
Unsere Empfehlung
- Prüfen Sie die installierte Adobe-Connect-Version und spielen Sie den gepatchten Build aus APSB26-191 so rasch wie möglich ein.
- Beschränken Sie bis zum Patch den Zugriff auf den Connect-Server auf benötigte Benutzer, betreiben Sie ihn hinter einem VPN oder Access Gateway, falls er aus dem Internet erreichbar ist, und deaktivieren Sie nicht benötigte oder veraltete Konten, inklusive Gastkonten.
- Prüfen Sie Web-Server- und Anwendungslogs auf ungewöhnliche Anfragen und überwachen Sie Hinweise auf Code-Injection-Versuche.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-191 www.adobe.com
- Strix CVE-2026-121892 details www.strix.ai
- OffSeq Radar CVE-2026-121892 radar.offseq.com
- Zero Day Initiative November 2026 security update review www.zerodayinitiative.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:25.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.