Adobe Connect: Code-Injection führt zu beliebiger Codeausführung
Zusammenfassung
Die Desktop- und Android-Clients von Adobe Connect enthalten eine Code-Injection-Schwachstelle (CWE-94), die beliebige Codeausführung im Kontext des aktuellen Benutzers erlaubt. Ein Angreifer kann Code auf dem Endgerät ausführen, wenn ein Opfer eine manipulierte URL öffnet oder eine kompromittierte Webseite besucht. Adobe stuft die Schwachstelle als kritisch (CVSS 9.6) ein, VulDB als mittel (6.3). Adobe meldet keine bekannte Ausnutzung in freier Wildbahn.
Betroffen
- Adobe Connect Desktop Windows: 2026.8.51 und älter
- Adobe Connect Desktop Mac Silicon: 2026.08.45 und älter
- Adobe Connect Desktop Mac Intel: 2026.01.39 und älter
- Adobe Connect Mobile (Android): 4.4 und älter
Behoben in
- Adobe Connect Desktop Windows: 2026.9.61
- Adobe Connect Desktop Mac Silicon: 2026.10.66
- Adobe Connect Desktop Mac Intel: 2026.10.170
- Adobe Connect Mobile (Android): 4.5
Umgehung
Unbekannt.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn bekannt.
- Bis 30. Oktober 2026 wurde kein öffentlicher Proof-of-Concept-Exploit gefunden (VulDB, OffSeq).
- OffSeq meldet ein öffentliches Nuclei-Erkennungs-Template, das nicht verifiziert wurde.
- Nach bestem Wissen nicht im CISA-KEV-Katalog aufgeführt.
Unsere Empfehlung
- Adobe-Connect-Desktop-Clients und die Android-App auf die oben genannten korrigierten Versionen aktualisieren (Adobe-Priorität 2).
- Prüfen, welche Mitarbeitenden Connect-Clients verwenden, und Endgeräte mit veralteten Versionen priorisieren.
- Veraltete Clients entfernen und die Installation von Connect einschränken.
- Benutzende für Connect- oder Meeting-Links von unbekannten Absendern sensibilisieren.
- Falls ein lokaler Connect-Server betrieben wird, das separate Bulletin APSB26-150 direkt prüfen, da nicht bestätigt ist, dass diese CVE dort abgedeckt ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-182 www.adobe.com
- VulDB CVE-2026-48360 vuldb.com
- OffSeq Radar: CVE-2026-48360 radar.offseq.com
- The Hacker Wire: CVE-2026-48360 www.thehackerwire.com
- Adobe Connect APSB26-150 (server bulletin, reference only) helpx.adobe.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:06.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.