Adobe Experience Manager: Incorrect Authorization führt zu Codeausführung
Zusammenfassung
Adobe Experience Manager (AEM) enthält eine Schwachstelle durch Incorrect Authorization (CWE-863, CVE-2026-48382), die zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers führen kann. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff kann die Schwachstelle ohne Benutzerinteraktion ausnutzen, und die Auswirkungen können über die verwundbare Komponente hinausgehen (Scope changed), sodass erhöhter Zugriff oder die Kontrolle über ein Benutzerkonto oder eine Sitzung möglich sind. Der CVSS-3.1-Basiswert beträgt 10.0 (Critical). Die NVD-Analyse war zum Zeitpunkt der Recherche noch ausstehend.
Betroffen
- AEM as a Cloud Service: 2026.9.28187 und früher
- AEM 6.5 LTS: Service Pack 3 und früher
- AEM 6.5: 6.5.25 und früher
Behoben in
- AEM as a Cloud Service: behoben in 2026.9.28386
- AEM 6.5 und 6.5 LTS: Hotfixes für GRANITE-72352 (6.5 LTS SP1, SP2, SP3; 6.5.20 bis 6.5.25). Ob dieser Hotfix CVE-2026-48382 zugeordnet ist, ist nicht bestätigt; die Adobe-Sicherheitsmitteilung ist zu prüfen.
- Details zum Download der Hotfixes: Unbekannt.
Umgehung
- Es ist kein vom Hersteller veröffentlichter Workaround bekannt. Das Einspielen von Updates ist die einzige dokumentierte Massnahme.
- Übergangsmassnahme (allgemeine Praxis, keine Herstellerangabe): Externen Zugriff auf die Autoren- und Administrationsoberflächen von AEM bis zur Behebung einschränken.
Ausnutzung
- Adobe ist keine Ausnutzung der Probleme aus der Sicherheitsmitteilung APSB26-152 in freier Wildbahn bekannt.
- Die Zero Day Initiative führt APSB26-152 mit Exploited: No.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Für CVE-2026-48382 wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle AEM-Instanzen, deren Versionen und die Frage, ob sie aus dem Internet erreichbar sind, erfassen.
- AEM as a Cloud Service auf 2026.9.28386 oder neuer aktualisieren. Die Hotfixes für 6.5 und 6.5 LTS erst einspielen, nachdem die CVE-Zuordnung auf der Adobe-Seite bestätigt wurde.
- Externen Zugriff auf Autoren- und Administrationsoberflächen bis zur Behebung einschränken und Zugriffsprotokolle auf unerwartete Aktivitäten prüfen.
- Die NVD-Einträge und APSB26-152 auf Aktualisierungen überwachen.
- Kunden der Cloud-Service-Variante sollten beim Hersteller klären, ob Updates für ihren Tenant automatisch eingespielt werden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-152 helpx.adobe.com
- Adobe Trust Center: APSB26-152 www.adobe.com
- Tenable Nessus plugin 365771 www.tenable.com
- Zero Day Initiative: October 2026 security update review www.zerodayinitiative.com
- Vulners: CVE-2026-48382 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:22.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.