Adobe Experience Manager: Fehlerhafte Autorisierung ermöglicht Codeausführung
Zusammenfassung
Adobe Experience Manager (AEM) ist von einer Schwachstelle durch fehlerhafte Autorisierung (CWE-863) betroffen, die zur beliebigen Codeausführung im Kontext des aktuellen Benutzers führen kann. Gemäss CNA-Eintrag sind weder Berechtigungen noch Benutzerinteraktion erforderlich und der Scope ist geändert; ein Angreifer mit Netzwerkzugriff könnte dadurch erhöhte Rechte oder die Kontrolle über das Benutzerkonto oder die Sitzung des Opfers erlangen. Der offizielle CVSS-Wert ist 10.0 (kritisch), doch die Recherche fand im Adobe-Bulletin einen abweichenden Wert von 7.1 mit benötigten niedrigen Berechtigungen, daher muss das Adobe-Advisory geprüft werden.
Betroffen
- Adobe Experience Manager as a Cloud Service: 0 bis 2026.9.28187
- Adobe Experience Manager 6.5 LTS: 0 bis 6.5 LTS SP3
- Adobe Experience Manager 6.5: 0 bis 6.5.25
Behoben in
- Adobe Experience Manager as a Cloud Service: 2026.9.28386
- Adobe Experience Manager 6.5 LTS SP1, SP2, SP3: Hotfix GRANITE-72352
- Adobe Experience Manager 6.5.20 bis 6.5.25: Hotfix GRANITE-72352
- Die Zuordnung des Hotfixes zu CVE-2026-48383 sollte im Adobe-Advisory bestätigt werden.
Umgehung
Unbekannt. In den Quellen wurde kein Workaround des Herstellers identifiziert.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn für Schwachstellen in diesem Bulletin bekannt.
- CISA SSVC: Ausnutzung keine, Automatisierbar ja, Technische Auswirkung total.
- Es wurde kein öffentlicher Proof of Concept speziell für CVE-2026-48383 gefunden.
Unsere Empfehlung
- Alle AEM-Instanzen (Author, Publish, Cloud Service, 6.5) erfassen und prüfen, ob sie aus dem Internet erreichbar sind.
- Das aktuelle Adobe-Advisory APSB26-152 prüfen, inklusive Schweregrad und Hotfix-Zuordnung.
- Cloud-Service-Instanzen auf 2026.9.28386 oder neuer aktualisieren und auf 6.5-Systemen den Hotfix GRANITE-72352 installieren.
- Logs exponierter Instanzen auf ungewöhnliche Autorisierungs- oder Codeausführungsaktivitäten prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-152 (helpx) helpx.adobe.com
- Adobe Security Bulletin APSB26-152 (adobe.com/trust) www.adobe.com
- NVD-based CVE data (vulners) vulners.com
- CNA summary (Strix) www.strix.ai
- Tenable plugin 365771 www.tenable.com
- ZDI October 2026 security update review www.zerodayinitiative.com
- HKCERT Adobe monthly security update October 2026 www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.