Adobe After Effects: Heap-basierter Pufferüberlauf ermöglicht Codeausführung
Zusammenfassung
Adobe After Effects ist von einem Heap-basierten Pufferüberlauf betroffen, der die Ausführung beliebigen Codes im Kontext des aktuellen Benutzers ermöglichen könnte. Ein Angreifer benötigt keine Berechtigungen, das Opfer muss jedoch eine manipulierte Datei öffnen. Windows- und macOS-Installationen bis einschliesslich 26.5 und 25.6.6 sind betroffen.
Betroffen
- Adobe After Effects 0 bis 26.5 (Windows und macOS)
- Adobe After Effects 0 bis 25.6.6 (Windows und macOS)
Behoben in
- Zweig 26.x: Aktualisierung auf 26.5.3
- Zweig 25.6.x: Aktualisierung auf 27.0 (gemäss CVE-Eintrag; auf dem Adobe-Bulletin überprüfen)
Umgehung
Unbekannt.
- Für diese CVE ist kein Workaround des Herstellers dokumentiert.
- Bis zur Aktualisierung keine Projekt- oder Mediendateien aus unbekannten Quellen öffnen.
Ausnutzung
- Nicht als ausgenutzt bekannt (OffSeq; Strix führt KEV: No).
- Adobe ist keine Ausnutzung in freier Wildbahn für ein Problem im Bulletin APSB26-100 bekannt.
- Kein öffentlicher Proof of Concept gefunden; dies ist kein Beweis, dass keiner existiert.
Unsere Empfehlung
- After Effects je nach installiertem Zweig auf 26.5.3 oder 27.0 aktualisieren, sobald die Aktualisierung gegen APSB26-100 verifiziert ist, idealerweise über Creative Cloud.
- Das gesamte Bulletin APSB26-100 (17 CVEs) patchen, nicht nur diese CVE.
- Das Öffnen von Dateien aus unbekannten Quellen einschränken und Arbeitsstationen mit After Effects identifizieren.
- Priorität: mittel für die meisten KMU, höher für Kreativteams, die Dateien mit externen Parteien austauschen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE.org record CVE-2026-123263 www.cve.org
- Adobe Security Bulletin APSB26-100 www.adobe.com
- ZDI November 2026 security update review www.zerodayinitiative.com
- OffSeq threat radar entry radar.offseq.com
- Strix CVE entry CVE-2026-123263 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:03.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.