Adobe Connect: SQL-Injection mit möglicher Codeausführung
Zusammenfassung
Adobe Connect enthält eine SQL-Injection-Schwachstelle (CWE-89), die Adobe mit einem CVSS-Wert von 9.9 als kritisch einstuft. Gemäss CVE-Eintrag kann ein Angreifer mit niedrigen Berechtigungen die Schwachstelle über das Netzwerk ohne Benutzerinteraktion ausnutzen, was zur Ausführung von beliebigem Code im Kontext des aktuellen Benutzers führen kann, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Da nur niedrige Berechtigungen nötig sind, kann bereits ein gültiges Konto von internen Benutzern genügen, weshalb auch die interne Exposition relevant ist und nicht nur die Exposition aus dem Internet.
Betroffen
- Adobe Connect 0 bis 12.12 (gemäss CVE-Eintrag, betroffene Versionen bis und mit 12.12)
- Plattform: Windows (gemäss Adobe-Bulletin APSB26-191)
Behoben in
- Adobe Connect 12.12.a
- Adobe Connect 12.11.i
- Adobe Connect 12.10.f
- Adobe Connect 12.9.a
- Adobe Connect 12.8.a
- Korrigierte Builds gemäss Adobe-Bulletin APSB26-191 und CVE-Eintrag
Umgehung
Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround identifiziert.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn für die in APSB26-191 behobenen Probleme bekannt.
- OffSeq führt diese CVE als nicht als aktiv ausgenutzt; die Belege werden als dünn eingestuft.
- In der Recherche wurde kein öffentlicher Proof of Concept gefunden. Exploit-Datenbanken und der CISA-KEV-Katalog wurden nicht verifiziert.
Unsere Empfehlung
- Erfassen Sie alle Adobe-Connect-Server und deren genaue Build-Version und klären Sie, ob jeder Server selbst betrieben oder von einem Drittanbieter bereitgestellt wird.
- Aktualisieren Sie selbst betriebene Connect-Server nach Tests auf den korrigierten Build Ihres Zweigs (12.8.a, 12.9.a, 12.10.f, 12.11.i oder 12.12.a) innerhalb des Zeitfensters für Priorität 2.
- Falls ein Patch nicht sofort möglich ist, beschränken Sie den Zugriff auf Connect auf vertrauenswürdige Netzwerke und Konten und überprüfen Sie Konten mit niedrigen Berechtigungen.
- Prüfen Sie Applikations- und Datenbank-Logs auf injektionsartige Fehler und klären Sie mit Ihrem Hosting-Anbieter, ob gehostete Instanzen gepatcht sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-191 www.adobe.com
- CVE Record CVE-2026-121898 www.cve.org
- Strix: CVE-2026-121898 www.strix.ai
- OffSeq Radar: CVE-2026-121898 radar.offseq.com
- Zero Day Initiative: November 2026 security update review www.zerodayinitiative.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:27.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.