Adobe Connect a Experience Manager: listopadové opravy s pěti chybami CVSS 10,0

Co se stalo

Adobe v úterý 10. listopadu 2026 spolu s pravidelnými opravami vydal dva bulletiny pro serverové produkty, které firmy a školy často vystavují do internetu:

• APSB26-191 – Adobe Connect (platforma pro webináře a online výuku): 24 chyb, 17 kritických, 5 vysokých, 2 střední. Pět kritických má CVSS 3.1 10,0 a nevyžaduje přihlášení.
• APSB26-189 – Adobe Experience Manager (AEM, redakční systém velkých webů): 14 chyb, 4 kritické s CVSS 9,9, 10 středních.

Oba bulletiny mají prioritu 2 a Adobe v nich píše, že o zneužití neví.

Technické podrobnosti

Všechny údaje jsou z bulletinů Adobe a ze záznamů CVE, které Adobe zapsal do NVD (NVD je k 11. 11. ještě neanalyzovala). Technický rozbor výzkumníků zatím nevyšel, Adobe nepopisuje dotčené komponenty ani konkrétní požadavky.

• Connect bez přihlášení (CVSS 10,0): dvě chyby SSRF – server lze přimět, aby sám posílal požadavky na adresy, které určí útočník, typicky do vnitřní sítě nebo na interní rozhraní. Dále čtení souborů mimo povolený adresář (path traversal), chybná kontrola oprávnění a vložení konce řádku do hlaviček nebo protokolu (CRLF injection). Vektor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N znamená útok po síti, bez účtu a bez interakce oběti, s dopadem mimo samotnou aplikaci. Adobe dopad označuje jako zvýšení oprávnění.
• Connect s běžným účtem (CVSS 9,9): šest SQL injection, XXE, code injection a dva path traversal vedou ke spuštění kódu. Stačí účet s nízkými právy – u Connectu to může být i účastník webináře nebo student, pokud organizace dovoluje registraci.
• AEM (CVSS 9,9): dvě chyby v kontrole oprávnění a dvě code injection umožní spuštění kódu uživateli s nízkými právy v AEM, bez interakce dalšího uživatele. Středně závažné chyby jsou hlavně uložené a DOM XSS (CVSS 5,4) a jedno obejití ochrany (CVE-2026-118482).

Návod ke zneužití nezveřejňujeme.

Koho se to týká

• AEM Forms: tři DOM XSS (CVE-2026-118479, -118480, -118481) se na AEM 6.5 SP25 opravují podle toho, zda máte Forms Add-on (verze 6.0.1482), nebo samostatným „Forms Hotfix for AEM 6.5 QuickStart 1.0.12“. AEM 6.5 LTS bez Forms Add-on se jich netýká.
• Jen AEM 6.5: CVE-2026-119017 a CVE-2026-118482. Jen Cloud Service: CVE-2026-123341.
• Nejvíc ohrožené jsou servery Connect dostupné z internetu, zvlášť s povolenou registrací účastníků, a instance AEM, kde mají účty externí autoři nebo agentury.

Jak poznat napadení

Adobe indikátory napadení nezveřejnil a o útocích nic neuvádí. Co doporučujeme sledovat (vlastní doporučení, ne pokyn Adobe):

• Odchozí spojení ze serveru Connect na interní adresy, metadata cloudu (169.254.169.254) nebo neznámé hosty – typický projev SSRF.
• Požadavky s ../, %2e%2e nebo %0d%0a v přístupových lozích webového serveru před Connectem a AEM.
• Chyby databáze (SQL syntax) v lozích Connectu a nové procesy spouštěné službou Connect nebo procesem Javy u AEM.
• Nové účty a změny skupin v Connectu i v AEM (administrátoři, autoři), nové balíčky a bundly v AEM (Package Manager, OSGi konzole).

Indikátory, které případně zveřejní Adobe nebo CERT, si ze zprávy vytáhnete v extraktoru IOC. Vektory ze záznamů CVE si přepočítáte v CVSS kalkulačce.

Co udělat

1. Adobe Connect na vlastním serveru: aktualizujte na opravené sestavení své řady (nejlépe 12.12.a) podle poznámek k vydání, na které odkazuje APSB26-191.
2. Než aktualizujete Connect, omezte přístup ke správě a k API jen na vnitřní síť nebo VPN a zakažte ze serveru odchozí spojení, která nepotřebuje (proti SSRF).
3. AEM 6.5 a 6.5 LTS: nasaďte Cumulative Hotfix GRANITE-75052 z portálu Adobe Software Distribution; s formuláři i Forms Add-on 6.0.1482 nebo Forms Hotfix 1.0.12.
4. AEM Cloud Service: v Cloud Manageru ověřte, že prostředí běží na 2026.10.29251 nebo novější.
5. Projděte účty: u Connectu vypněte samoregistraci, kde ji nepotřebujete, u AEM zkontrolujte účty externích autorů – kritické chyby AEM vyžadují přihlášení.

Časová osa

Aktualizace

• 11. 11. 2026 – první verze článku.