Adobe Bridge APSB26-81: Acht kritische Lücken erlauben Code-Ausführung
Adobe hat mit APSB26-81 acht kritische Schwachstellen in Adobe Bridge geschlossen. Einige davon erlauben die Ausführung von beliebigem Code, ohne dass der Anwender etwas anklicken muss. Wer Bridge auf Windows oder macOS im Einsatz hat, sollte den Patch jetzt einspielen.
Adobe hat am 29. Juli 2026 das Sicherheits-Bulletin APSB26-81 für Adobe Bridge veröffentlicht. Es bündelt acht kritische Schwachstellen, von denen mehrere als Pfad zur Ausführung von beliebigem Code (Arbitrary Code Execution) eingestuft sind. Adobe stuft das Bulletin mit Priorität 1 ein und empfiehlt, die aktualisierte Version zeitnah einzuspielen.
Was ist passiert?
Adobe Bridge ist das Datei- und Medienverwaltungsprogramm aus der Creative-Cloud-Familie, das vor allem in Marketing-, Design- und Foto-Workflows eingesetzt wird. Im aktuellen Bulletin werden acht sicherheitsrelevante Fehler in der Speicher- und Eingabeverarbeitung beschrieben. Mindestens mehrere davon gelten nach Adobe als RCE-Klasse, also als Pfade, mit denen ein Angreifer ohne oder mit nur minimaler Nutzerinteraktion Code auf dem System ausführen kann. Externe Auswertungen bezeichnen die Lücken als durchgängig kritisch.
Im gleichen Zeitraum hatte Adobe bereits am 3. August 2026 mit APSB26-120 ein weiteres kritisches Bulletin für Adobe Campaign Classic veröffentlicht. Beide Meldungen zusammen zeigen, dass der Juli-Schwerpunkt von Adobe auf Eingabevalidierung und Speichersicherheit in den On-Premises- und Desktop-Produkten lag. Für Admins heißt das: zwei Adobe-Patches in einer Woche.
Wer ist betroffen?
Betroffen sind alle Installationen von Adobe Bridge unter Windows und macOS, die nicht auf dem aktuellen Stand sind. Wer Bridge über das Creative-Cloud-Desktop-Programm installiert hat, bekommt das Update in der Regel automatisch. Wer Bridge als Standalone-Installation in verwalteten Umgebungen einsetzt, etwa auf Image-Workstations in Marketing-Abteilungen, muss das Update aktiv ausrollen.
Nicht betroffen sind andere Creative-Cloud-Anwendungen wie Photoshop, Illustrator oder InDesign, sofern sie auf dem aktuellen Stand sind. Bridge ist allerdings häufig auf denselben Workstations installiert und wird beim Imaging leicht übersehen, weil es im Vergleich zu Photoshop eine Nebenrolle spielt. Genau hier liegt das Risiko.
Wie kritisch ist das?
Adobe stuft APSB26-81 mit Priorität 1 ein, der höchsten Stufe. Eine RCE-Lücke in einer Desktop-Anwendung, die typischerweise mit interaktiven Anwenderrechten läuft, ist dann kritisch, wenn ein Angreifer Schadcode einschleusen kann, der unter dem Konto des angemeldeten Anwenders ausgeführt wird. In Unternehmensumgebungen mit Standardbenutzer-Konten ist der Schaden zunächst auf den Rechner und das Benutzerprofil begrenzt, er kann aber bei Marketing-Workstations mit Zugriff auf Asset-Server oder Cloud-Creative-Storage weiter reichen.
Eine öffentliche Ausnutzung in freier Wildbahn ist uns zum Redaktionsstand 5. August 2026 nicht bekannt. Da es sich um Desktop-Software handelt, die regelmäßig in automatisierten Angriffs-Scanning-Listen auftaucht, ist das Zeitfenster trotzdem überschaubar. Patchen ist günstiger als nachträgliches Forensik.
Was sollten Admins jetzt tun?
- Inventur: Bridge-Installationen auf allen Workstations identifizieren, insbesondere in Image- und Marketing-Teams, und Build-Stand prüfen.
- Patchen: Über die Creative Cloud Desktop App oder per MSI/Package-Manager in verwalteten Umgebungen auf die im Bulletin genannte aktualisierte Version aktualisieren.
- Auto-Update prüfen: Sicherstellen, dass die Creative-Cloud-Auto-Update-Richtlinie aktiv ist und nicht durch Gruppenrichtlinien oder Image-Konfigurationen unterdrückt wird.
- Logs prüfen: Bridge-Startvorgänge der letzten 30 Tage in den Event-Logs auffällige Muster, etwa ungewöhnliche Spawns von Hilfsprozessen oder Zugriffe auf temporäre Verzeichnisse mit anschließender Ausführung von Skripten, durchsehen.
- EDR: Falls EDR im Einsatz ist, Regel auf ungewöhnliche Kind-Prozesse von Bridge.exe beziehungsweise Adobe Bridge.app aktivieren.
Einordnung für Unternehmen
Adobe Bridge ist im Unternehmensalltag eine Außenseiter-Anwendung, die in der IT-Inventur oft fehlt, weil sie weder serverbasierend noch geschäftskritisch wahrgenommen wird. Genau das macht sie zu einem attraktiven Angriffsziel: Ein ungepatchter Bridge-Build auf einer Marketing-Workstation mit Zugriff auf freigegebene Asset-Verzeichnisse ist ein guter Ausgangspunkt für Lateral Movement, sobald ein Angreifer einen Fuß in das Netzwerk hat. In Umgebungen mit aktiver Phishing-Welle ist das kein theoretisches Risiko.
Praktisch heißt das: Bridge gehört in das reguläre Patch-Reporting, mindestens mit einer vierteljährlichen Stichprobe. Wer den Bridge-Build-Stand nicht in seinem Inventar hat, sollte ihn noch diese Woche aufnehmen, parallel zum APSB26-120-Update für Campaign Classic.
Passende Anleitungen auf S-EDV
- Windows-Updates mit WSUS oder Update for Business steuern – passendes Verfahren für Adobe-Bridge-Updates in verwalteten Umgebungen.
- Adobe Campaign Classic: APSB26-120 schließt SSRF und RCE – der zweite Adobe-Schwerpunkt aus derselben Woche.
