Elf Softwareprodukte von Adobe sind über insgesamt 174 Sicherheitslücken verwundbar und Angreifer können etwa Schadcode auf PCs schieben und ausführen. Reparierte Versionen stehen zum Download bereit. Bislang gibt es von Adobe keine Berichte, dass Angreifer bereits Schwachstellen ausnutzten.

Damit das gar nicht erst passiert, sollten Admins die Sicherheitspatches zeitnah installieren. Weiterführende Informationen zu den Lücken und Updates finden Admins in den unterhalb dieser Meldung verlinkten Warnmeldungen.

Als am gefährlichsten gelten zwei „kritische“ Sicherheitslücken (CVE-2026-105899, CVE-2026-106622) mit maximalem CVSS-Score 10 von 10 in ColdFusion. Sind Attacken erfolgreich, können Angreifer Schadcode ausführen oder sich höhere Nutzerrechte verschaffen. Davon sind alle Plattformen betroffen. Die Entwickler versichern, diese und weitere Sicherheitsprobleme in den Ausgaben ColdFusion 2023.0.26 und 2025.0.14 gelöst zu haben.

Commerce ist ebenfalls über eine Lücke mit maximaler Einstufung (CVE-2026-103849 „kritisch“) angreifbar. Hier können Angreifer ohne vorherige Anmeldung Schadcode ausführen. Experience Manager ist über drei „kritische“ Schwachstellen mit Höchstwertung attackierbar (CVE-2026-90532, CVE-2026-48383, CVE-2026-48382). In allen drei Fällen können Angreifer Schadcode ausführen. Wie Attacken im Detail ablaufen könnten, ist derzeit nicht bekannt.

Durch das erfolgreiche Ausnutzen der verbleibenden Lücken in den anderen Anwendungen können Angreifer unter anderem Sicherheitsfeatures umgehen und eigenen Code ausführen. In vielen Fällen liegt es nahe, dass Angreifer Systeme vollständig kompromittieren können.

• Bridge
• ColdFusion
• Commerce
• Content Credentials SDK
• Dimension
• Experience Manager
• FrameMaker
• Photoshop
• Substance 3D Designer
• Substance 3D Sampler
• Substance 3D Stager

(des)