Adobe Photoshop: Out-of-Bounds Write ermöglicht Codeausführung
Zusammenfassung
Adobe Photoshop 2026 (27.10 und älter) und Photoshop 2025 (26.11.7 und älter) unter Windows und macOS enthalten eine Out-of-Bounds-Write-Schwachstelle (CWE-787). Ein Angreifer kann beliebigen Code mit den Rechten des aktuellen Benutzers ausführen, wenn ein Benutzer eine präparierte Datei öffnet. Eine Authentifizierung ist nicht nötig, eine Interaktion des Benutzers jedoch schon. Adobe kennt laut Herstellerangaben keine Exploits in freier Wildbahn.
Betroffen
- Photoshop 2026: 27.10 und älter (Windows und macOS)
- Photoshop 2025: 26.11.7 und älter (Windows und macOS)
Behoben in
- Photoshop 2026: 27.11 (Windows und macOS)
- Photoshop 2025: 26.11.8 (Windows und macOS)
Umgehung
Kein Workaround veröffentlicht. Bis die Aktualisierung installiert ist, keine Bild- oder Dokumentdateien aus E-Mails, Downloads oder unbekannten Quellen öffnen.
Ausnutzung
- Adobe kennt keine Exploits in freier Wildbahn.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Photoshop 2026 auf 27.11 und Photoshop 2025 auf 26.11.8 aktualisieren, über die Creative Cloud Desktop-App oder die Admin Console.
- Automatische Updates der Creative Cloud aktiviert lassen.
- Bis die Aktualisierung installiert ist, keine Bild- oder Dokumentdateien aus unbekannten Quellen öffnen.
- Die installierten Photoshop-Versionen auf allen Arbeitsplätzen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-158 www.adobe.com
- Strix: CVE-2026-96523 www.strix.ai
- Vulners: Nessus plugin for APSB26-158 (macOS) vulners.com
- OffSeq Radar: CVE-2026-96523 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 00:02.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.