Premiere Pro: Out-of-bounds Write ermöglicht beliebige Codeausführung
Zusammenfassung
Ein Fehler vom Typ Out-of-bounds Write (CWE-787) in Adobe Premiere Pro kann missbraucht werden, um beliebigen Code mit den Rechten des angemeldeten Benutzers auszuführen. Der Angreifer muss das Opfer dazu bringen, eine manipulierte Projekt- oder Mediendatei zu öffnen, daher gibt es keinen Angriffsweg über das Netzwerk. Adobe meldet keine Ausnutzung in freier Wildbahn, und der CVSS-Basiswert beträgt 7.8 (hoch).
Betroffen
- Adobe Premiere Pro 26.5.2 und früher (Windows und macOS)
- Adobe Premiere Pro 25.6.6 und früher (Windows und macOS)
Behoben in
- Adobe Premiere Pro 26.5.3 für die Linie 26.x (CVE-Eintrag und Bulletin)
- Adobe Premiere Pro 27.0 für die Linie 25.x laut CVE-Eintrag; das Bulletin nennt 27.0 als aktualisierte Version, der korrigierte Build für 25.x ist in den Quellen jedoch nicht bestätigt. Prüfen Sie APSB26-101, bevor Sie 25.x als sicher betrachten.
Umgehung
- Vom Hersteller ist keine Workaround-Massnahme dokumentiert. Unbekannt.
- Bis zur Korrektur keine unbekannten oder unerwarteten Projekt- und Mediendateien in Premiere Pro öffnen. Diese Notmassnahme stammt von einem Drittanbieter-Tracker, nicht von Adobe.
- Kreativ-Arbeitsstationen mit Standardbenutzerkonten betreiben, um die Auswirkungen einer Codeausführung zu begrenzen.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle in freier Wildbahn ausgenutzt wird.
- Die Zero Day Initiative führt die Ausnutzung für das Premiere-Bulletin als "No" auf.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.
- In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle Premiere-Pro-Installationen und deren Versionen inventarisieren, einschliesslich der Linie 25.x.
- Über Creative Cloud auf 26.5.3 oder 27.0 aktualisieren. Bei 25.x zuerst den korrigierten Build in APSB26-101 bestätigen.
- Bis zur Korrektur das Öffnen von Dateien aus unsicheren Quellen einschränken und Benutzer auf Standardkonten belassen.
- Auf Meldungen über Ausnutzung und öffentlichen Proof-of-Concept-Code achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-101 www.adobe.com
- CVE Record CVE-2026-82012 www.cve.org
- Zero Day Initiative: November 2026 security update review www.zerodayinitiative.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 02:02.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.