Adobe Photoshop: Out-of-bounds Write ermöglicht Codeausführung über manipulierte Datei
Zusammenfassung
Adobe Photoshop Desktop enthält eine Schwachstelle vom Typ Out-of-bounds Write (CWE-787), erfasst als CVE-2026-96521. Ein Angreifer kann diese ausnutzen, um beliebigen Code im Kontext des aktuell angemeldeten Benutzers auszuführen. Voraussetzung ist, dass ein Opfer eine manipulierte Datei öffnet, zum Beispiel einen E-Mail-Anhang oder eine heruntergeladene Datei.
Betroffen
- Photoshop 2026: 27.10 und älter (Windows und macOS)
- Photoshop 2025: 26.11.7 und älter (Windows und macOS)
Behoben in
- Photoshop 2026: 27.11
- Photoshop 2025: 26.11.8
Laut Adobe sind die korrigierten Versionen im Advisory APSB26-158 aufgeführt; Drittquellen nennen dieselben Versionen.
Umgehung
Unbekannt. Adobe beschreibt keine Workaround-Massnahme. Bis das Update installiert ist, keine Photoshop-Dateien aus unbekannten oder nicht vertrauenswürdigen Quellen öffnen.
Ausnutzung
- Adobe ist keine Ausnutzung in freier Wildbahn für die Probleme dieses Updates bekannt.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Gemäss Drittquellen ist die CVE nicht im CISA-KEV-Katalog aufgeführt.
- Es wurde kein öffentlicher Proof of Concept gefunden. Das bedeutet, dass nichts bekannt ist, nicht dass keiner existiert.
Unsere Empfehlung
- Photoshop über die Creative Cloud Desktop-App auf 27.11 (2026) bzw. 26.11.8 (2025) oder neuer aktualisieren.
- In verwalteten Umgebungen Updates über die Admin Console der Creative Cloud verteilen.
- Installationen identifizieren, die älter als die korrigierten Versionen sind, und sicherstellen, dass jeder Arbeitsplatz aktualisiert wird.
- Mitarbeitende anweisen, bis zum Abschluss der Patches keine Photoshop-Dateien von unbekannten Absendern, aus E-Mail-Anhängen oder nicht vertrauenswürdigen Downloads zu öffnen.
- Die korrigierten Versionen vor dem Einsatz im Adobe-Advisory APSB26-158 bestätigen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-158 www.adobe.com
- ZDI: The October 2026 Security Update Review www.zerodayinitiative.com
- HKCERT: Adobe Monthly Security Update October 2026 www.hkcert.org
- Nessus plugin MACOS_ADOBE_PHOTOSHOP_APSB26-158 vulners.com
- ThreatInt CVE-2026-96521 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 00:01.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.