Angreifer können an teilweise „kritischen“ Schwachstellen in Adobe Bridge, Connect, Content Credentials, Experience Manager Forms JEE, InDesign, Premiere Pro und Substance 3D Modeler ansetzen. Im schlimmsten Fall gelten Systeme nach erfolgreichen Attacken als vollständig kompromittiert.

Im Sicherheitsbereich der Adobe-Website listen die Entwickler die betroffenen Anwendungen auf. Dort finden Admins auch konkrete Hinweise zu den gepatchten Versionen. Der Softwarehersteller versichert, dass ihm bislang keine Hinweise auf laufende Attacken vorliegen. Dennoch sollten Admins mit dem Patchen nicht zu lange zögern.

Einer Warnmeldung zufolge ist Connect über sieben „kritische“ Sicherheitslücken angreifbar. Eine davon schrammt mit einem CVSS-Score von 9.9 knapp an der maximalen Einstufung 10 vorbei (CVE-2026-75682). Setzen Angreifer erfolgreich an den Lücken an, können sie Schadcode auf Computer schieben und ausführen. Sie können sich aber auch höhere Nutzerrechte verschaffen (etwa CVE-2026-75684). Wie solche Attacken ablaufen könnten, ist bislang nicht bekannt.

Davon sind den Entwicklern zufolge die Versionen für Android, macOS und Windows bedroht. Sie geben an, die Sicherheitsprobleme in Connect 12.12 (macOS, Windows) und Connect Android Mobile App 4.5 gelöst zu haben.

Adobe Experience Manager Forms (AEM Forms) ist ebenfalls über „kritische“ Schadcode-Lücken (etwa CVE-2026-75745) angreifbar. Davon sollen alle Plattformen bedroht sein. AEM 6.5 LTS Forms Service Pack 3 und AEM 6.5 Forms 6.5.25 (AEMForms-6.5.0-0134 Hotfix) sind repariert.

Die verbleibenden Anwendungen sind auch für Schadcode-Angriffe empfänglich. Angreifer können aber auch Abstürze (DoS) auslösen oder Sicherheitsfeatures umgehen.

Seit Juli dieses Jahres stellt Adobe immer zweimal pro Monat Sicherheitspatches zum Download.

(des)