Sechs CVSS 10.0 Schwachstellen im Juni Adobe reagiert auf KI-entdeckte Schwachstellen mit zweitem Patchday

Mehr Schwachstellen durch KI, erfordern schnellere Reaktion. Allein im Juni musste Adobe sechs Sicherheitslücken in ColdFusion mit maximalem Schweregrad schließen. Updates erscheinen deshalb künftig zwei­wöchentlich.

Eigentlich hat Adobe parallel zum Microsoft Patch Tuesday seinen Patchday an jedem zweiten Dienstag im Monat. Doch wie auch viele andere Hersteller hat Adobe mit der Flut an Schwach­stellen zu kämpfen, die durch Künstliche Intelligenz aufgedeckt wurden. Deshalb reagiert Adobe mit einer Anpassung der Patch-Zyklen. Neben der Veröffentlichung von Sicher­heits­updates an jedem zweiten Dienstag im Monat werden ab dem 14. Juli 2026 auch an jedem vierten Dienstag im Monat Updates veröffentlicht. Bereits im Juni 2026 musste der Hersteller außerplanmäßig ein Security Bulletin veröffentlichen, da insgesamt elf Si­cher­heitslücken gefunden wurden, sechs davon erhielten den maximalen Schweregrad von 10.0.

Änderungen an der NVD

NIST reagiert auf Schwachstellen-Flut

Kritische Sicherheitslücken in ColdFusion

Das jüngste Bulletin wurde am 30. Juni veröffentlicht und die darin gelisteten Schwachstellen betreffen die Webentwicklungsplattform ColdFusion. Die 2025er Variante ist in den Versionen 9 und älter betroffen, Variante 2023 in den Versionen 20 und älter.

Behoben wurden die Anfälligkeiten mit Version 10 für ColdFusion 2025 und Version 21 für ColdFusion 2023. Doch bei dieser außerplanmäßigen Patch-Veröffentlichung bleibt es für Adobe-Kunden nicht.

Initial Access Brokering

Große Angriffskampagne auf ColdFusion-Server

Korrekturen werden schneller geteilt

Die Geschwindigkeit, mit der Sicherheitslücken dank Künstlicher Intelligenz gefunden werden können, hat sich drastisch erhöht. Und damit auch der Umfang der Meldungen. Auch Adobe setzt für die Schwach­stellenerkennung auf Frontier-KI und agentenbasierte Analystetools, wie der Hersteller in einem Blogbeitrag erläutert. Diese Methode habe bereits einige Schwach­stellen mit kritischem Risiko ans Licht gebracht, die bei herkömmlichen, punktuellen Prüfverfahren im gleichen Zeitrahmen unentdeckt geblieben wären.

Doch nicht nur Hersteller setzen auf KI. Auch Angreifern stehen diese Methoden zur Verfügung, weshalb sich der Zeitraum zwischen der öffentlichen Bekanntgabe einer Schwachstelle und ihrer aktiven Ausnutzung enorm verkürzt. Teilweise von Tagen auf Stunden. Für Adobe sei es deshalb der nächste logische Schritt, Code-Korrekturen schneller bereitzustellen. Aus diesem Grund werde der Anbieter die Veröffentlichung von Security Bulletins ab dem 14. Juli 2026 von einem monatlichen auf einen zweiwöchentlichen Rhythmus umstellen. Jeweils am zweiten und am vierten Dienstag eines Monats sollen die Kunden Patches zu neuen Sicherheitslücken erhalten. Dies werde für alle Hinweise gelten, die eine offiziell veröffentlichte CVE-Kennung enthalten und Maßnahmen seitens der Kunden erfordern.

Adobe ist nicht die erste Organisation, die auf die Zunahme von mit KI entdeckten Schwach­stellen, reagiert. Dem National Institute of Standards and Technology (NIST) nach hat die Zahl der CVE-Meldungen innerhalb von fünf Jahren um 263 Prozent zugenommen. Deswegen hat das Institut, das die National Vulnerability Database (NVD) betreibt, ein risikobasiertes Modell eingeführt, um das neue Volumen an Meldungen verwalten zu können.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

„The AI Vulnerability Storm“

250 CISOs veröffentlichen AI-Strategie-Briefing

(ID:50889946)