Adobe Experience Manager: Reflektiertes Cross-Site Scripting (XSS)

Zusammenfassung

Adobe Experience Manager (AEM) enthält eine Schwachstelle vom Typ reflektiertes Cross-Site Scripting, erfasst als CVE-2026-83662 und im CVE-Eintrag mit CRITICAL (CVSS 9.3) bewertet. Gemäss CVE-Eintrag können eingeschleuste Skripte im Browser des Opfers ausgeführt werden, nachdem das Opfer eine manipulierte URL öffnet oder mit einer kompromittierten Seite interagiert, wodurch Konto oder Sitzung des Opfers betroffen sein können. Das Bulletin APSB26-152 von Adobe führt diese CVE dagegen als SQL-Injection (CWE-89) und Umgehung einer Sicherheitsfunktion mit CVSS 7.1 ohne Benutzerinteraktion, weshalb Schwachstellentyp und Schweregrad im Advisory geprüft werden müssen, bevor darauf vertraut wird. AEM ist eine Enterprise-Plattform, daher betrifft das Risiko für KMU vor allem Organisationen, die AEM einsetzen.

Betroffen

• Adobe Experience Manager as a Cloud Service: 2026.9.28187 und älter
• Adobe Experience Manager 6.5 LTS: 6.5 LTS SP3 und älter
• Adobe Experience Manager 6.5: 6.5.25 und älter

Behoben in

• Adobe Experience Manager as a Cloud Service: 2026.9.28386
• Adobe Experience Manager 6.5 LTS: Hotfix für SITES-49893, SITES-49334 und SITES-48208 gemäss CVE-Eintrag; die Recherchenotizen nennen den Hotfix GRANITE-71772 aus dem Bulletin. Die Zuordnung zu dieser CVE ist nicht bestätigt.
• Adobe Experience Manager 6.5: Hotfix für SITES-49894, SITES-49335 und SITES-48207 gemäss CVE-Eintrag. Den korrekten Hotfix bitte über die Download-Links im Advisory prüfen.

Umgehung

Unbekannt. Es wurde keine vom Hersteller dokumentierte Workaround-Massnahme gefunden. Das Einspielen des Fixes ist die einzige bestätigte Behebung.

Ausnutzung

• Es wurde kein Nachweis einer Ausnutzung in freier Wildbahn gefunden.
• Die ZDI-Auswertung vom Oktober 2026 führt das Bundle APSB26-152 als nicht ausgenutzt.
• Die Schwachstelle ist nicht im CISA KEV-Katalog (gemäss Rapid7). Der EPSS-Wert liegt bei etwa 1%.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Es wurde kein öffentlicher Proof of Concept gefunden. Diese Prüfung ist nicht abschliessend.

Unsere Empfehlung

• Advisory APSB26-152 lesen und CWE, CVSS-Vektor und betroffene Komponente für CVE-2026-83662 bestätigen.
• Alle AEM-Instanzen (Cloud Service, 6.5 und 6.5 LTS) inventarisieren und deren Versionen erfassen.
• Für Cloud Service 2026.9.28386 installieren, für 6.5 und 6.5 LTS den korrekten Hotfix; danach die Installation verifizieren.
• Prüfen, ob AEM-Endpunkte aus dem Internet erreichbar sind, und öffentliche Instanzen mit hoher Priorität behandeln.
• Auf ungewöhnliche Anfragen an AEM-URLs und Hinweise auf Missbrauch von Sitzungen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Adobe Security Bulletin APSB26-152 (helpx) helpx.adobe.com
• Adobe Security Bulletin APSB26-152 (Adobe Trust Center) www.adobe.com
• Rapid7 vulnerability entry CVE-2026-83662 www.rapid7.com
• Zero Day Initiative: October 2026 security update review www.zerodayinitiative.com
• Tenable plugin 365771 www.tenable.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:12.