Resumen ejecutivo
Adobe ha corregido vulnerabilidades en los productos Adobe Connect y Adobe Experience Manager. Las más graves permiten escalar privilegios y ejecutar código arbitrario; en Adobe Connect varias pueden explotarse de forma remota sin autenticación ni interacción del usuario, mientras que las de Adobe Experience Manager requieren una cuenta con pocos privilegios. También se ha corregido un XSS almacenado en Adobe Connect. No se ha detectado explotación activa y se recomienda actualizar cuanto antes a las versiones corregidas por el fabricante.
Recursos afectados
- Adobe Experience Manager
- Adobe Connect
Análisis técnico
- CVE-2026-121352: Adobe Connect está afectado por una vulnerabilidad de autorización incorrecta que podría permitir escalada de privilegios. Un atacante podría obtener acceso no autorizado a recursos sensibles sin interacción del usuario, con impacto potencial que va desde la exposición de información hasta la toma de control de funcionalidades comprometidas.
- CWE-863
- CVSS: 10.0 (crítica)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
- Explotación: No detectada
- CVE-2026-121356: Adobe Connect es un producto afectado por una vulnerabilidad de Server-Side Request Forgery (SSRF). El fallo podría permitir escalación de privilegios; la explotación no requiere interacción del usuario y el alcance del riesgo ha sido ajustado.
- CWE-918
- CVSS: 10.0 (crítica)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
- Explotación: No detectada
- CVE-2026-121889: Adobe Connect es vulnerable a una Server-Side Request Forgery (SSRF) que podría permitir la escalada de privilegios. La explotación no requiere interacción del usuario y el impacto potencial incluye el compromiso del sistema con mayores privilegios.
- CWE-918
- CVSS: 10.0 (crítica)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
- Explotación: No detectada
- CVE-2026-113579: Adobe Experience Manager es vulnerable a una inyección de código (Code Injection) que puede permitir la ejecución remota de código (RCE) en el contexto del usuario actual. Un atacante con pocos privilegios podría explotarlo sin interacción del usuario, lo que conlleva ejecución de código arbitrario y posible compromiso del sistema.
- CWE-94
- CVSS: 9.9 (crítica)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2026-113580: Adobe Experience Manager es vulnerable a un fallo de "Code Injection" que puede permitir la ejecución remota de código (RCE) en el contexto del usuario actual. Un atacante con pocos privilegios podría explotarlo sin interacción del usuario, comprometiendo el sistema con impacto potencial de control total de la cuenta afectada.
- CWE-94
- CVSS: 9.9 (crítica)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2026-114371: Adobe Experience Manager puede verse afectado por una vulnerabilidad de autorización incorrecta que permite a atacantes con pocos privilegios ejecutar código arbitrario en el contexto del usuario actual. No requiere interacción del usuario y podría llevar a RCE, comprometiendo la integridad y confidencialidad del sistema.
- CWE-863
- CVSS: 9.9 (crítica)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2026-119017: Adobe Experience Manager se ve afectado por una vulnerabilidad de autorización incorrecta que permite RCE (ejecución de código arbitrario) en el contexto del usuario actual. Un atacante con pocos privilegios podría explotarla sin interacción del usuario, lo que podría llevar a la ejecución de código y compromiso del sistema.
- CWE-863
- CVSS: 9.9 (crítica)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2026-121355: Adobe Connect está afectado por una vulnerabilidad de autorización incorrecta que puede permitir la escalada de privilegios. Un atacante podría aprovecharla para obtener acceso elevado a información o funcionalidades sensibles sin interacción del usuario, con posible impacto significativo en la confidencialidad e integridad del sistema.
- CWE-863
- CVSS: 9.1 (crítica)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
- Explotación: No detectada
- CVE-2026-121913: Adobe Connect podría estar afectado por una vulnerabilidad de autorización incorrecta que permite la escalada de privilegios. Un atacante con pocos privilegios podría explotar el fallo para obtener acceso elevado a información o funcionalidades sensibles, con impacto potencial grave y sin necesidad de interacción del usuario.
- CWE-863
- CVSS: 8.8 (alta)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2026-122102: Adobe Connect está afectado por una vulnerabilidad de Cross-Site Scripting (XSS) almacenado que podría ser aprovechada por un atacante con pocos privilegios para inyectar scripts maliciosos en campos de formulario vulnerables. El JavaScript malicioso podría ejecutarse en el navegador de la víctima cuando esta visite la página que contiene el campo vulnerable.
- CWE-79
- CVSS: 8.7 (alta)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
- Explotación: No detectada
Mitigación / Solución
Medidas a adoptar:
- Aplicar las actualizaciones de seguridad publicadas por Adobe en cuanto estén disponibles
· Adobe Connect: corregir las versiones afectadas por XSS almacenado, incorrect authorization y SSRF publicadas en el aviso
· Adobe Experience Manager: corregir las versiones afectadas por incorrect authorization y code injection publicadas en el aviso
- Restringir el acceso a las interfaces de administración de los productos afectados
· Limitar el acceso a redes internas de confianza hasta completar la actualización de Adobe Connect y Adobe Experience Manager
- Monitorizar los sistemas afectados para detectar actividad anómala
· Revisar actividad y accesos inusuales asociados a Adobe Connect y Adobe Experience Manager tras la publicación de las vulnerabilidades