Adobe Connect: SQL-Injection führt zu Remote Code Execution
Zusammenfassung
Adobe Connect enthält eine SQL-Injection-Schwachstelle (CWE-89), die es einem authentifizierten Angreifer mit niedrigen Berechtigungen erlaubt, beliebigen Code im Kontext des aktuellen Benutzers auszuführen. Für den Angriff ist keine Benutzerinteraktion nötig, und der Scope ist verändert, weshalb die Auswirkungen über die verwundbare Komponente hinausreichen können. Der CVSS-3.1-Basiswert beträgt 9.9 (Critical), und die NVD-Analyse war zum Zeitpunkt der Veröffentlichung noch ausstehend.
Betroffen
- Adobe Connect 12.12 und früher (Windows, gemäss Bulletin APSB26-191)
- Der CNA-Eintrag listet betroffene Bereiche bis 12.8, 12.9, 12.10, 12.11 und 12.12, jeweils mit einer korrigierten Version.
- Versionen der Desktop-Anwendung und der Android-App: Unbekannt.
Behoben in
- Adobe Connect 12.12.a
- Adobe Connect 12.11.i
- Adobe Connect 12.10.f
- Adobe Connect 12.9.a
- Adobe Connect 12.8.a
Umgehung
Unbekannt. Es wurde kein vom Hersteller bestätigter Workaround identifiziert; das Update des Herstellers ist einzuspielen.
Ausnutzung
- Adobe ist keine Ausnutzung der Schwachstellen aus dem Bulletin APSB26-191 in freier Wildbahn bekannt.
- Zum Zeitpunkt der Recherche wurden kein öffentlicher Proof of Concept, kein Metasploit-Modul und kein Eintrag im CISA KEV gefunden.
- Die Ausnutzung erfordert ein gültiges Konto mit niedrigen Berechtigungen (PR:L).
Unsere Empfehlung
- Alle Adobe-Connect-Server und deren Versionen inklusive Desktop-Clients erfassen.
- Die korrigierte Version für den eigenen Zweig gemäss Adobe-Bulletin APSB26-191 so rasch wie möglich einspielen.
- Bis zum Patch den Zugriff auf den Server auf VPN oder vertrauenswürdige Netze beschränken.
- Benutzerkonten, Selbstregistrierung und Gastzugänge überprüfen und reduzieren.
- Logs auf ungewöhnliche Datenbankfehler und unerwartete Kontoaktivitäten prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-191 www.adobe.com
- CVE Record CVE-2026-121896 www.cve.org
- Strix: CVE-2026-121896 www.strix.ai
- Zero Day Initiative: November 2026 security update review www.zerodayinitiative.com
- OffSeq Radar: CVE-2026-121896 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.