Patchday Adobe: Kritische Lücken mit Höchstwertung bedrohen Connect
Um möglichen Attacken vorzubeugen, müssen Admins die verfügbaren Sicherheitspatches für Adobe After Effects, Audition, Connect, Content Credentials SDK, Dimension, Experience Manager, Media Encoder, Photoshop und Premiere installieren. Bislang gibt es keine Meldungen, dass Angreifer bereits Systeme attackieren. Admins sollten mit dem Patchen aber nicht zu lange zögern.
Besonders gefährliche Sicherheitslücken
Am gefährlichsten einer Warnmeldung zufolge gelten fünf „kritische“ Lücken (CVE-2026-121356, CVE-2026-121351, CVE-2026-121889, CVE-2026-121352, CVE-2026-121353) mit maximalem CVSS-Score 10 von 10 in Adobe Connect unter Windows. Über Schwachstellen wie Server-Side Request Forgery (SSRF), Path Traversal und CRLF Injection können sich Angreifer höhere Nutzerrechte verschaffen. Insgesamt stuft Adobe 17 Connect-Lücken als kritisch ein. Über einige davon können Angreifer auch Schadcode ausführen. Abhilfe schaffen die Versionen 12.12.a, 12.11.i, 12.10.f, 12.9.a und 12.8.a.
In einem Beitrag warnen die Entwickler, dass vier als „kritisch“ eingestufte Schwachstellen (etwa CVE-2026-113579) in Experience Manager auf allen Plattformen Schadcode auf Computer gelangen kann. Im verlinkten Beitrag von Adobe sind die reparierten Ausgaben aufgelistet.
Audition ist unter macOS und Windows verwundbar. Auch hier kann an mehreren Stellen Schadcode auf Systeme gelangen. Das ist auch bei After Effects, Media Encoder, Photoshop und Premiere der Fall. Dimension ist nur unter macOS mit Schadcode attackierbar. Die Lücken im Content Credentials SDK stuft Adobe lediglich mit mittel und niedrig ein. Angreifer könnten darüber etwa Sicherheitsfunktionen umgehen oder Dienste lahmlegen.
Weiterführende Informationen zu den bedrohten Versionen der Anwendungen und den verfügbaren Sicherheitspatches finden sich in den jeweiligen Warnmeldungen. Diese sollten sich Admins ganz genau anschauen, um die Bedrohung für ihre Systeme einschätzen zu können.
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.