Adobe Experience Manager: Incorrect Authorization ermöglicht Codeausführung
Zusammenfassung
Adobe Experience Manager (AEM), einschliesslich AEM as a Cloud Service sowie der On-Premises-Versionen 6.5 und 6.5 LTS, ist von einer Incorrect-Authorization-Schwachstelle betroffen (CVE-2026-90532). Gemäss den NVD- und CNA-Daten kann ein Angreifer beliebigen Code im Kontext des aktuellen Benutzers ausführen und dadurch erhöhte Zugriffsrechte oder die Kontrolle über ein Benutzerkonto oder eine Sitzung erlangen. Es ist keine Benutzerinteraktion nötig, und der Scope ist verändert. Das Adobe-Bulletin nennt laut Quellen eine tiefere Berechtigungsanforderung als die NVD-Daten, daher muss die Erreichbarkeit geprüft werden, bevor die Ausnutzbarkeit beurteilt werden kann.
Betroffen
- AEM as a Cloud Service: 0 bis 2026.9.28187
- AEM 6.5 LTS: 0 bis 6.5 LTS SP3
- AEM 6.5: 0 bis 6.5.25
Behoben in
- AEM as a Cloud Service: 2026.9.28386
- AEM 6.5 LTS: Hotfix GRANITE-72352 für SP1, SP2 und SP3 (gemäss CNA-Daten; genaue Hotfix-IDs ungeklärt, Adobe-Bulletin prüfen)
- AEM 6.5: Hotfix GRANITE-72352 für 6.5.20 bis 6.5.25 (gemäss CNA-Daten; genaue Hotfix-IDs ungeklärt, Adobe-Bulletin prüfen)
Umgehung
- Keine vom Hersteller dokumentierte Workaround-Massnahme bekannt.
- Falls nicht zeitnah gepatcht werden kann, Adobe-Support kontaktieren oder das Bulletin nach Übergangsmassnahmen prüfen.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn bekannt.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Tenable meldet keine bekannten Exploits.
- Kein öffentlicher Proof of Concept gefunden; Abwesenheit nicht bestätigt.
Unsere Empfehlung
- Alle AEM-Instanzen und deren Versionen inklusive Service Pack beziehungsweise Hotfix-Stand erfassen.
- Prüfen, ob eine Instanz aus dem Internet oder aus nicht vertrauenswürdigen Netzen erreichbar ist, und den Zugriff einschränken.
- 2026.9.28386 für Cloud Service beziehungsweise den korrekten 6.5-Hotfix aus dem Adobe-Bulletin prioritär einspielen.
- AEM-Zugriffsprotokolle und Benutzerkonten vor dem Patch-Datum auf ungewöhnliche Aktivitäten prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-152 www.adobe.com
- Adobe HelpX APSB26-152 (NVD reference) helpx.adobe.com
- CNA data (aggregated) vulners.com
- Tenable Nessus plugin 365771 www.tenable.com
- ZDI October 2026 security update review www.zerodayinitiative.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:18.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.