Adobe Experience Manager as a Cloud Service
Adobe Experience Manager as a Cloud Service: esecuzione di codice arbitrario
Il problema, secondo i dati ufficiali
- Una falla di code injection (controllo improprio della generazione di codice) in Adobe Experience Manager as a Cloud Service può portare all'esecuzione di codice arbitrario nel contesto dell'utente corrente.
- Può sfruttarla un attaccante con privilegi bassi.
- Per lo sfruttamento non serve alcuna interazione da parte di un utente.
- La scheda raccoglie 3 vulnerabilità pubblicate lo stesso giorno sullo stesso prodotto: i dati sopra sono quelli della più grave.
Cosa fare
- Aggiorna Adobe Experience Manager as a Cloud Service alla versione 2026.10.29251 o successiva.
- Per Adobe Experience Manager 6.5 i dati ufficiali non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- Adobe Experience Manager as a Cloud Service: fino alla 2026.10.29023 inclusa
- Adobe Experience Manager 6.5: fino alla 6.5.25 inclusa
Fonti ufficiali
- www.adobe.com — avviso del produttore
Descrizione ufficiale (in inglese)
Adobe Experience Manager is affected by an Improper Control of Generation of Code ('Code Injection') vulnerability that could result in arbitrary code execution in the context of the current user. A low-privileged attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
Non sai se ti riguarda?
Se usi Adobe Experience Manager as a Cloud Service e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 11 novembre 2026. Prima di intervenire verifica l'avviso del produttore.