Adobe Connect: SQL-Injection ermöglicht beliebige Codeausführung
Zusammenfassung
Adobe Connect enthält eine SQL-Injection-Schwachstelle (CVE-2026-121894, CVSS 9.9, kritisch). Ein Angreifer mit einem Konto mit niedrigen Rechten kann ohne Benutzerinteraktion beliebige SQL-Befehle ausführen, was zu einer beliebigen Codeausführung im Kontext des aktuellen Benutzers sowie zu erhöhten Zugriffsrechten oder zur Kontrolle über das Konto oder die Sitzung des Opfers führen kann. Der Scope ist verändert, daher kann sich die Auswirkung über die verwundbare Komponente hinaus ausweiten. Adobe ist keine Ausnutzung der Schwachstellen aus dem Bulletin APSB26-191 in freier Wildbahn bekannt.
Betroffen
- Adobe Connect 0 bis 12.12 (gemäss offiziellem CVE-Eintrag, Windows gemäss APSB26-191)
Behoben in
- Adobe Connect 12.12.a
- Adobe Connect 12.11.i
- Adobe Connect 12.10.f
- Adobe Connect 12.9.a
- Adobe Connect 12.8.a
Umgehung
Unbekannt. Es wurde keine CVE-spezifische Massnahme veröffentlicht.
Ausnutzung
- Adobe ist keine Ausnutzung der Schwachstellen aus APSB26-191 in freier Wildbahn bekannt.
- Ein Aggregator führt diese CVE als nicht bekanntermassen ausgenutzt auf, weist jedoch darauf hin, dass die Datenlage dünn ist.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Adobe Connect vorrangig auf die korrigierte Version der eigenen Release-Linie aktualisieren.
- Die korrigierte Version vor dem Rollout anhand von APSB26-191 überprüfen.
- Bis zur Korrektur Connect nicht aus dem Internet erreichbar machen; Zugriff auf vertrauenswürdige Netzwerke oder VPN beschränken.
- Festlegen, wer sich bei Connect registrieren oder anmelden kann, und dies einschränken.
- Logs auf ungewöhnliche Datenbankfehler oder Abfrageaktivitäten prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-121894 www.cve.org
- Adobe Security Bulletin APSB26-191 www.adobe.com
- Zero Day Initiative: November 2026 Security Update Review www.zerodayinitiative.com
- OffSeq Radar: CVE-2026-121894 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:25.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.