Adobe Experience Manager : Quatre CVEs critiques dans APSB26-189
Ce texte a été généré par l'intelligence artificielle (IA).Adobe a publié le Security Advisory APSB26-189 au total 14 vulnérabilités dans Adobe Experience Manager. Quatre entrées critiques documentées ont un score CVSS de 9.9 (CVSS : 3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H): CVE-2026-119017, CVE-2026-113580, CVE-2026-114371 et CVE-2026-113579. Adobe classe cet advisory avec Deployment Priority 2 une exploitation active des vulnérabilités adressées n'est pas documentée.
Vulnérabilité : CVE-2026-119017 (CVSS 9,9, critique) ; autres : CVE-2026-113580, CVE-2026-114371 y compris.
Statut : aucun abus avéré à ce jour
Formes de déploiement AEM concernées
Les CVEs critiques affectent différentes formes de déploiement d'Adobe Experience Manager :
CVE-2026-119017 affecte AEM 6.5.
CVE-2026-113580 affecte AEM as a Cloud Service.
CVE-2026-113579 affecte AEM as a Cloud Service.
CVE-2026-114371 affecte AEM as a Cloud Service, AEM 6.5 et AEM 6.5 LTS – les trois formes de déploiement sont concernées.
Pour l'évaluation, il est donc crucial de savoir quelle forme de déploiement AEM une organisation utilise réellement.
Classification technique des CVEs critiques
CVE-2026-119017 et CVE-2026-114371 sont classées comme Autorisation Incorrecte décrits. CVE-2026-113580 et CVE-2026-113579 concernent un contrôle insuffisant lors de la génération de code, qui est Injection de code classé.
Pour les quatre CVEs critiques, Adobe documente une attaque à distance avec des exigences d'attaque faibles. Un attaquant avec peu de permissions pourrait exécuter n'importe quel code dans le contexte de l'utilisateur actuel. Aucune interaction de l'utilisateur n'est requise.
Les impacts concernent la confidentialité, l'intégrité et la disponibilité. Le scope documenté peut s'étendre au-delà de la limite de sécurité d'origine.
Priorisation de l'état des patchs et de l'affectation
La première vérification devrait clarifier quelle forme de déploiement AEM est utilisée – AEM 6.5, AEM 6.5 LTS ou AEM en tant que service cloud – et quelles instances sont accessibles publiquement. Ensuite, l'attribution des CVE respectives peut être intégrée dans la planification des patchs.
Pour AEM en tant que service cloud, Adobe annonce une version de maintenance pour corriger CVE-2026-113580 et CVE-2026-113579. CVE-2026-114371 concerne également AEM en tant que service cloud (jusqu'à la version 2026.10.29023), AEM 6.5 (jusqu'à la version 6.5.25) et AEM 6.5 LTS et doit donc être traité de manière inter-forme de déploiement. Pour AEM 6.5 et AEM 6.5 LTS, les informations fournies font référence aux correctifs Adobe ou aux niveaux de Service Pack pour CVE-2026-119017 et CVE-2026-114371.
Un traitement robuste comprend notamment :
Inventorier les instances AEM et leur forme de déploiement.
Vérifier l'état des patchs pour les quatre CVEs critiques.
Attribuer les instances cloud à CVE-2026-113580, CVE-2026-113579 ainsi que CVE-2026-114371.
Attribuer les instances AEM-6.5 et AEM-6.5-LTS à CVE-2026-119017 et CVE-2026-114371.
Intégrer les notes Adobe sur les correctifs, les Service Packs et les versions de maintenance dans le processus de changement.
Vérifier la liste complète des 14 CVEs adressées dans l'APSB26-189 dans l'avis d'Adobe.
Pertinence pour les instances AEM accessibles publiquement
Adobe Experience Manager peut être déployé sous des domaines d'entreprise. Par conséquent, l'inventaire des instances AEM accessibles de l'extérieur est pertinent pour le traitement de l'avis. La dénomination du produit dans une liste de logiciels interne ne suffit pas s'il n'est pas clair quelles instances sont accessibles et quelle forme de déploiement elles utilisent.
La priorisation relie trois questions : Où fonctionne AEM, quelle variante est en cours d'utilisation et quel chemin de mise à jour du fournisseur s'applique à l'instance ? Cette attribution réduit le risque que des avis critiques ne soient traités qu'au niveau du produit, bien que certains systèmes aient des exigences de mise à jour différentes.
Pour les organisations en Allemagne et en Autriche, qui relèvent de la NIS-2 ou de la NISG autrichienne, une exploitation réussi d'un avis de cette criticité peut entraîner une obligation de signalement auprès de l'autorité compétente. Les organisations suisses vérifient leurs obligations de signalement selon la loi sur la sécurité de l'information révisée (ISG) auprès du BACS. Indépendamment du cadre réglementaire, il est important de noter : Si une exploitation compromet des données personnelles de citoyens de l'UE, le délai de notification de 72 heures après l'article 33 du RGPD s'applique.
Visibilité pour l'EASM et le Cyber Vendor Risk Management
LocateRisk soutient la visibilité des systèmes accessibles publiquement et des logiciels utilisés sous les domaines d'entreprise dans la gestion de la surface d'attaque externe. Pour Adobe Experience Manager, cette visibilité peut soutenir l'inventaire des instances AEM pour l'évaluation de l'APSB26-189 – y compris des sous-domaines oubliés ou des actifs cloud non suivis, qui ne sont pas enregistrés dans les listes de logiciels internes.
La plateforme peut rendre visible le logiciel utilisé et son accessibilité publique. La vulnérabilité concrète d'une instance unique exige encore l'examen de la forme de déploiement, de l'état de patch et des notes d'Adobe.
Dans le Cyber Vendor Risk Management, la publication d'un avis critique d'Adobe peut être enregistrée comme un événement de sécurité pertinent pour un fournisseur de technologie. Pour le traitement opérationnel, il reste nécessaire d'attribuer aux propres instances AEM, aux responsabilités et aux processus de mise à jour.
Suis-je concerné ?
Concerné est Adobe Experience Manager dans les versions mentionnées ci-dessus. Quiconque veut savoir si Adobe Experience Manager est visible dans son infrastructure accessible de l'extérieur peut utiliser le Vérification rapide CVE à consulter à la fin de cet article : il présente les systèmes exposés et les logiciels identifiables depuis l'extérieur.
Il n'est pas toujours possible de déterminer la version effectivement installée à partir d'éléments externes — il est essentiel de la comparer avec l'avis de sécurité du fabricant.
APSB26-189 concerne AEM as a Cloud Service, AEM 6.5 et AEM 6.5 LTS. CVE-2026-114371 est pertinent pour tous les types de déploiement ; CVE-2026-119017 concerne uniquement AEM 6.5, tandis que CVE-2026-113580 et CVE-2026-113579 concernent uniquement AEM as a Cloud Service.
Les quatre CVEs critiques ont tous un score CVSS de 9.9 (Critique). Le vecteur CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H décrit une attaque réseau avec de faibles exigences de complexité et de droits permettant d'accéder sans interation utilisateur, qui peut compromettre complètement la confidentialité, l'intégrité et la disponibilité, et étendre le périmètre au-delà de la frontière de sécurité d'origine.
Au moment de la publication de l'avis le 10 novembre 2026, Adobe ne documente aucune exploitation active des vulnérabilités concernées. Adobe classe l'avis avec une priorité de déploiement 2, ce qui nécessite une réaction d'urgence rapide, mais pas immédiate.
Stand : 11.11.2026. Cet article est destiné à des fins d'information générales et ne constitue pas un conseil juridique, de sécurité ou d'action dans un cas particulier. La situation de sécurité et la disponibilité des correctifs peuvent avoir évolué depuis la publication ; l'avis du fabricant lié fait foi. Malgré des recherches approfondies, nous ne garantissons pas l'actualité, l'exactitude et l'exhaustivité.
Vérification rapide CVE
Vérifiez en quelques minutes si votre surface d'attaque visible depuis l'extérieur présente des indices liés à une vulnérabilité CVE actuelle.
Première évaluation en quelques minutes par e-mail.
Pour en savoir plus, contactez gratuitement un consultant LocateRisk.
Vous recevrez cela par e-mail
EntreprisesVotre société GmbH
CVE vérifiésCVE-2026-119017
Évaluation passive
Remarques concernant le CVEtrouvé ou non trouvé
En savoir plus, réserver une démo ou simplement échanger quelques mots ? Nous nous en réjouissons !
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Always active
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English