Adobe Connect: SQL-Injection führt zur Ausführung von beliebigem Code
Zusammenfassung
Adobe Connect ist von einer SQL-Injection-Schwachstelle betroffen (CVE-2026-121908, CVSS 9.9, kritisch). Ein Angreifer mit einem Benutzerkonto mit niedrigen Berechtigungen auf dem Server kann beliebigen Code im Kontext des aktuellen Benutzers ausführen, ohne dass eine Benutzerinteraktion nötig ist. Der Scope ist verändert, sodass sich die Auswirkungen auf andere Komponenten ausweiten können.
Betroffen
- Adobe Connect 12.12 und früher (gemäss CNA-Eintrag; die Versionstabelle des Bulletins wurde nicht verifiziert)
- Betroffene Bereiche gemäss CNA-Eintrag: 0 bis 12.8, 12.9, 12.10, 12.11 und 12.12
- Plattform: Windows (gemäss Adobe-Bulletin APSB26-191)
- Hinweis: Strix.ai listet Versionen bis 12.12 als betroffen; dies sollte mit dem Bulletin abgeglichen werden
Behoben in
- Adobe Connect 12.8.a (für den Zweig 12.8)
- Adobe Connect 12.9.a (für den Zweig 12.9)
- Adobe Connect 12.10.f (für den Zweig 12.10)
- Adobe Connect 12.11.i (für den Zweig 12.11)
- Adobe Connect 12.12.a (für den Zweig 12.12)
Umgehung
Unbekannt. Für diese CVE wurde kein Workaround des Herstellers identifiziert.
Ausnutzung
- Adobe ist keine Ausnutzung der Schwachstellen im Bulletin APSB26-191 in freier Wildbahn bekannt.
- OffSeq führt die CVE per 10. November 2026 als nicht bekanntermassen ausgenutzt.
- Bisher wurde kein öffentlicher Proof of Concept gefunden. Der Eintrag wurde einen Tag vor dieser Meldung veröffentlicht, daher kann sich die Lage rasch ändern.
Unsere Empfehlung
- Prüfen Sie, ob Ihr Adobe-Connect-Server aus dem Internet, aus einer DMZ oder aus Partnernetzwerken erreichbar ist, und beschränken Sie den Zugriff wo möglich.
- Spielen Sie so rasch wie möglich die korrigierte Version für Ihren Zweig ein, nachdem Sie die Version im Adobe-Bulletin APSB26-191 bestätigt haben.
- Überprüfen Sie die Benutzerkonten, einschliesslich Gast- und externer Teilnehmerkonten, und entfernen Sie nicht benötigte Konten.
- Überwachen Sie die Applikations- und Webserver-Logs auf ungewöhnliche SQL-Fehler oder Anfragen.
- Behandeln Sie dies als hohe Priorität für internetexponierte oder lokal betriebene Installationen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-121908 (CNA: Adobe) www.cve.org
- Adobe Security Bulletin APSB26-191 www.adobe.com
- Strix.ai CVE-2026-121908 www.strix.ai
- ZDI November 2026 Security Update Review www.zerodayinitiative.com
- OffSeq Radar CVE-2026-121908 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:24.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.