Adobe Media Encoder: Fehlerhafte Autorisierung (CWE-863) ermöglicht Codeausführung
Zusammenfassung
Adobe Media Encoder enthält eine Schwachstelle durch fehlerhafte Autorisierung (CWE-863), die eine Ausführung von beliebigem Code im Kontext des aktuellen Benutzers ermöglichen kann. Der Angriff erfordert, dass ein Opfer eine manipulierte Datei öffnet, und der Angreifer kann nicht alle Bedingungen für die Ausnutzung kontrollieren. Der CVSS-3.1-Wert beträgt 7.7 (Hoch), mit geänderter Scope, hoher Angriffskomplexität und ohne benötigte Berechtigungen.
Betroffen
- Adobe Media Encoder 26.5.2 und früher (Windows und macOS)
- Adobe Media Encoder 25.6.6 und früher (Windows und macOS)
Behoben in
- Adobe Media Encoder 27.0 (Windows und macOS)
- Adobe Media Encoder 26.5.3 (Windows und macOS)
- Korrigierter Build für den 25.6-Zweig: Unbekannt. Die genaue Version ist im Adobe-Sicherheitsbulletin APSB26-103 zu prüfen.
Umgehung
Unbekannt. In den geprüften Quellen ist keine Workaround dokumentiert.
Ausnutzung
- Adobe ist keine Ausnutzung der Probleme in Bulletin APSB26-103 in freier Wildbahn bekannt.
- In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.
- In den geprüften Quellen ist die Schwachstelle nicht im CISA KEV-Katalog aufgeführt.
- Die NVD-Analyse war zum Zeitpunkt der Veröffentlichung noch ausstehend.
Unsere Empfehlung
- Adobe Media Encoder über Creative Cloud auf 27.0 oder 26.5.3 aktualisieren und die korrigierte Version für den 25.6-Zweig im Adobe-Advisory APSB26-103 bestätigen.
- Arbeitsplätze für Medien, Design und Marketing sowie Geräte, die Dateien externer Parteien öffnen, priorisieren.
- Bis zur Aktualisierung das Öffnen unbekannter oder unaufgeforderter Projekt- und Mediendateien vermeiden.
- Das Asset-Inventar auf Media-Encoder-Installationen prüfen und diese in den regulären monatlichen Patch-Zyklus aufnehmen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-103 www.adobe.com
- CVE record mirror (threatint) cve.threatint.com
- HKCERT Adobe November 2026 security update www.hkcert.org
- Zero Day Initiative November 2026 security update review www.zerodayinitiative.com
- Adobe Security Bulletin APSB26-72 (earlier release) helpx.adobe.com
- Strix CVE entry CVE-2026-82002 www.strix.ai
- OffSeq radar entry CVE-2026-82002 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:44.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.