Adobe Experience Manager: Vier kritische CVEs in APSB26-189
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Adobe hat mit dem Security Advisory APSB26-189 insgesamt 14 Schwachstellen in Adobe Experience Manager adressiert. Vier dokumentierte kritische Einträge tragen einen CVSS-Score von 9.9 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H): CVE-2026-119017, CVE-2026-113580, CVE-2026-114371 und CVE-2026-113579. Adobe stuft das Advisory mit Deployment Priority 2 ein. Eine aktive Ausnutzung der adressierten Schwachstellen ist nicht dokumentiert.
Schwachstelle: CVE-2026-119017 (CVSS 9.9, kritisch); weitere: CVE-2026-113580, CVE-2026-114371 u. a.
Status: kein aktiver Missbrauch belegt
Betroffene AEM-Bereitstellungsformen
Die kritischen CVEs betreffen unterschiedliche Bereitstellungsformen von Adobe Experience Manager:
CVE-2026-119017 betrifft AEM 6.5.
CVE-2026-113580 betrifft AEM as a Cloud Service.
CVE-2026-113579 betrifft AEM as a Cloud Service.
CVE-2026-114371 betrifft AEM as a Cloud Service, AEM 6.5 sowie AEM 6.5 LTS – alle drei Bereitstellungsformen sind betroffen.
Für die Bewertung ist daher entscheidend, welche AEM-Bereitstellungsform eine Organisation tatsächlich einsetzt.
Technische Einordnung der kritischen CVEs
CVE-2026-119017 und CVE-2026-114371 sind als Incorrect Authorization beschrieben. CVE-2026-113580 und CVE-2026-113579 betreffen eine unzureichende Kontrolle bei der Code-Erzeugung, die als Code Injection klassifiziert ist.
Für alle vier kritischen CVEs dokumentiert Adobe einen Angriff über das Netzwerk mit niedrigen Angriffsanforderungen. Ein Angreifer mit geringen Berechtigungen könnte beliebigen Code im Kontext des aktuellen Benutzers ausführen. Eine Benutzerinteraktion ist dabei nicht erforderlich.
Die Auswirkungen betreffen Vertraulichkeit, Integrität und Verfügbarkeit. Der dokumentierte Scope kann sich über die ursprüngliche Sicherheitsgrenze hinaus auswirken.
Priorisierung von Patchstatus und Betroffenheit
Die erste Prüfung sollte klären, welche AEM-Bereitstellungsform im Einsatz ist – AEM 6.5, AEM 6.5 LTS oder AEM as a Cloud Service – und welche Instanzen öffentlich erreichbar sind. Anschließend lässt sich die jeweilige CVE-Zuordnung in die Patchplanung übernehmen.
Für AEM as a Cloud Service nennt Adobe ein Wartungsrelease für die Behebung von CVE-2026-113580 und CVE-2026-113579. CVE-2026-114371 betrifft darüber hinaus AEM as a Cloud Service (bis einschließlich 2026.10.29023), AEM 6.5 (bis einschließlich 6.5.25) sowie AEM 6.5 LTS und ist daher deployment-formübergreifend zu behandeln. Für AEM 6.5 und AEM 6.5 LTS verweist die bereitgestellte Informationenlage auf Adobe-Hotfixes oder Service-Pack-Stände für CVE-2026-119017 und CVE-2026-114371.
Eine belastbare Bearbeitung umfasst insbesondere:
AEM-Instanzen und ihre Bereitstellungsform erfassen.
Den Patchstatus für die vier kritischen CVEs prüfen.
Cloud-Instanzen CVE-2026-113580, CVE-2026-113579 sowie CVE-2026-114371 zuordnen.
AEM-6.5- und AEM-6.5-LTS-Instanzen CVE-2026-119017 und CVE-2026-114371 zuordnen.
Adobe-Hinweise zu Hotfixes, Service Packs und Wartungsreleases in den Change-Prozess übernehmen.
Die vollständige Liste der 14 in APSB26-189 adressierten CVEs im Adobe Advisory prüfen.
Relevanz für öffentlich erreichbare AEM-Instanzen
Adobe Experience Manager kann unter Unternehmensdomains bereitgestellt sein. Dadurch ist die Inventarisierung extern erreichbarer AEM-Instanzen für die Bearbeitung des Advisories relevant. Die Produktbezeichnung in einer internen Softwareliste genügt nicht, wenn unklar bleibt, welche Instanzen erreichbar sind und welche Bereitstellungsform sie verwenden.
Die Priorisierung verbindet drei Fragen: Wo läuft AEM, welche Variante ist im Einsatz und welcher Hersteller-Updateweg gilt für die Instanz? Diese Zuordnung reduziert das Risiko, dass kritische Hinweise nur auf Produktebene behandelt werden, obwohl einzelne Systeme unterschiedliche Updateanforderungen haben.
Für Organisationen in Deutschland und Österreich, die unter NIS-2 bzw. dem österreichischen NISG fallen, kann ein erfolgreich ausgenutztes Advisory dieser Kritikalität eine Meldepflicht gegenüber der zuständigen Behörde auslösen. Schweizer Organisationen prüfen ihre Meldepflichten nach dem revidierten Informationssicherheitsgesetz (ISG) beim BACS. Unabhängig vom regulatorischen Rahmen gilt: Werden bei einer Ausnutzung personenbezogene Daten von EU-Bürgerinnen und -Bürgern kompromittiert, greift die 72-Stunden-Meldefrist nach Art. 33 DSGVO.
Sichtbarkeit für EASM und Cyber Vendor Risk Management
LocateRisk unterstützt im External Attack Surface Management die Sichtbarkeit öffentlich erreichbarer Systeme und eingesetzter Software unter eigenen Unternehmensdomains. Bei Adobe Experience Manager kann diese Sicht die Inventarisierung von AEM-Instanzen für die Bewertung von APSB26-189 unterstützen – einschließlich vergessener Subdomains oder ungetrackt betriebener Cloud-Assets, die in internen Softwarelisten nicht erfasst sind.
Die Plattform kann die eingesetzte Software und ihre öffentliche Erreichbarkeit sichtbar machen. Die konkrete Verwundbarkeit einer einzelnen Instanz erfordert weiterhin die Prüfung von Bereitstellungsform, Patchstatus und den Adobe-Hinweisen.
Im Cyber Vendor Risk Management lässt sich die Veröffentlichung eines kritischen Adobe-Advisories als sicherheitsrelevantes Ereignis bei einem Technologieanbieter erfassen. Für die operative Bearbeitung bleibt die Zuordnung zu den eigenen AEM-Instanzen, Verantwortlichkeiten und Updateprozessen erforderlich.
Bin ich betroffen?
Betroffen ist Adobe Experience Manager in den oben genannten Versionen. Wer wissen will, ob Adobe Experience Manager in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
APSB26-189 betrifft AEM as a Cloud Service, AEM 6.5 und AEM 6.5 LTS. CVE-2026-114371 ist dabei deployment-formübergreifend relevant; CVE-2026-119017 betrifft ausschließlich AEM 6.5, während CVE-2026-113580 und CVE-2026-113579 ausschließlich AEM as a Cloud Service betreffen.
Alle vier kritischen CVEs tragen einen CVSS-Score von 9.9 (Critical). Der Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H beschreibt einen netzwerkbasierten Angriff mit niedrigen Komplexitäts- und Berechtigungsanforderungen ohne Benutzerinteraktion, der Vertraulichkeit, Integrität und Verfügbarkeit vollständig beeinträchtigen und den Scope über die ursprüngliche Sicherheitsgrenze hinaus ausdehnen kann.
Zum Zeitpunkt der Veröffentlichung des Advisories am 10. November 2026 dokumentiert Adobe keine aktive Ausnutzung der betroffenen Schwachstellen. Adobe stuft das Advisory mit Deployment Priority 2 ein, was eine zeitnahe, aber nicht sofortige Notfall-Reaktion erfordert.
Stand: 11.11.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Erste Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2026-119017
Passive Bewertung
Hinweise zur CVEgefunden oder nicht gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français