Adobe Experience Manager: Falsche Autorisierung führt zu Codeausführung
Zusammenfassung
Adobe Experience Manager (AEM) enthält eine Schwachstelle durch falsche Autorisierung (CWE-863), die eine Ausführung beliebigen Codes im Kontext des aktuellen Benutzers erlauben kann, wodurch erweiterte Zugriffsrechte oder die Kontrolle über das Konto oder die Sitzung möglich werden können. Der CVSS-3.1-Wert beträgt 9.9 (kritisch) mit geänderter Scope. Für die Ausnutzung sind nur Zugangsdaten mit niedrigen Rechten und keine Benutzerinteraktion nötig, und der Angriff ist über das Netzwerk möglich.
Betroffen
- AEM 6.5 LTS: Versionen 0 bis 6.5 LTS SP3 (gemäss CNA-Eintrag)
- AEM 6.5: Versionen 0 bis 6.5.25 (gemäss CNA-Eintrag)
- AEM Cloud Service: Betroffenheit durch diese CVE unbestätigt; ältere Builds als 2026.9.28386 sind im Kontext des Bulletins aufgeführt
- Unbekannt: genaue Zuordnung der Zeile im Adobe-Bulletin APSB26-152 für diese CVE
Behoben in
- AEM Cloud Service: 2026.9.28386 oder neuer (gemäss Adobe-Bulletin APSB26-152, Betroffenheit für diese CVE noch zu bestätigen)
- AEM 6.5 LTS SP1 bis SP3: Hotfix NPR-44637 (gemäss CNA-Eintrag)
- AEM 6.5 Versionen 6.5.20 bis 6.5.25: Hotfix NPR-44636 (gemäss CNA-Eintrag, gegen die Adobe-Tabelle zu bestätigen)
Umgehung
- Kein Workaround des Herstellers bekannt.
- Zugriff auf Autoren- und Administrationsoberflächen bis zum Patch einschränken.
- Konten auf vertrauenswürdige Benutzer beschränken und bestehende Konten überprüfen.
Ausnutzung
- Adobe ist keine Ausnutzung von Schwachstellen in diesem Update in freier Wildbahn bekannt.
- Kein öffentlicher Proof of Concept für diese CVE gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- KEV-Status: unbestätigt.
Unsere Empfehlung
- Alle AEM-Instanzen (Cloud Service, 6.5, 6.5 LTS) und deren Versionen erfassen.
- Vor dem Patchen im Adobe-Bulletin APSB26-152 pro Produktlinie bestätigen, welcher Fix für CVE-2026-75732 gilt.
- Internetexponierte und Autoreninstanzen zuerst patchen sowie Benutzerkonten und letzte Anmeldungen prüfen.
- Das gesamte Bulletin priorisieren, da es weitere kritische CVEs enthält.
- NVD und den CISA-KEV-Katalog erneut prüfen, da die NVD-Analyse noch aussteht.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe security bulletin APSB26-152 www.adobe.com
- Adobe helpx bulletin APSB26-152 helpx.adobe.com
- Vulners CNA record CVE-2026-75732 vulners.com
- Tenable plugin 365771 www.tenable.com
- ZDI October 2026 security update review www.zerodayinitiative.com
- HKCERT October 2026 Adobe monthly update www.hkcert.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:23.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.