Adobe Photoshop Schwachstellen: BSI warnt vor Schadcode

Adobe Photoshop Schwachstellen lassen sich ausnutzen, um Schadcode auszuführen – davor warnt der Warn- und Informationsdienst (WID) von CERT-Bund beim BSI in einer Meldung vom 14. Oktober 2026. Betroffen sind Nutzer von Photoshop unter Windows und macOS. Für eine Ausnutzung ist laut Warnung eine Benutzeraktion erforderlich; welche konkret, verraten die vorliegenden Quellen nicht.

Adobe Photoshop Schwachstellen: Was das BSI meldet

Die Meldung des WID/Bürger-CERT beschränkt sich auf wenige Sätze. Genannt werden drei Aspekte: mehrere Lücken, die Ausführung von Schadcode oder ein Programmabsturz, und die Notwendigkeit einer Benutzeraktion. Angaben zu CVE-Nummern, betroffenen Versionen, Schweregrad oder bereitgestellten Patches enthält der abgerufene Artikel nicht.

Der WID ist kein Alarmkanal für akute Angriffe, sondern ein Informationsangebot des BSI. Er veröffentlicht Advisories für die Bundesverwaltung, Kurzinfos für andere Organisationen und Technische Warnungen für den Bürger, abonnierbar per Newsletter und RSS-Feed. Das geht aus der Übersicht der Technischen Sicherheitshinweise hervor. In dieses Raster fällt auch die Photoshop-Meldung.

Daneben betreibt das BSI die IT-Sicherheitsmitteilungen (BITS), die sich an Unternehmen und Behörden richten. Dort stehen derzeit andere Themen im Vordergrund – etwa Ivanti Connect Secure, Citrix NetScaler und Check Point. Ein Photoshop-Bezug findet sich dort nicht.

Schadcode, Absturz und die Benutzeraktion

Die gefährlichere der beiden möglichen Folgen ist die Ausführung von Schadcode. Gelingt sie, läuft fremder Code mit den Rechten des angemeldeten Nutzers. Auf einem Arbeitsplatzrechner im Kreativbereich ist das kein kleines Problem, denn dort liegen oft Kundendaten, Projektdateien und Zugangsdaten zu Cloud-Diensten. Die zweite Folge, der Absturz, klingt harmloser, kann aber ungespeicherte Arbeit vernichten.

Warum eine Benutzeraktion nötig ist, lässt sich aus den Quellen nicht ableiten. Für Bildbearbeitungsprogramme ist das Öffnen manipulierter Dateien ein naheliegender Weg – bestätigt ist das aber ausdrücklich nicht. Ebenso wenig gibt es Hinweise auf eine aktive Ausnutzung in freier Wildbahn. Wer die Meldung liest, sollte sie als Vorsorgehinweis verstehen, nicht als Bericht über einen laufenden Angriff.

Interessant ist ein Detail am Rand: Auf der BSI-Liste vom 14. Oktober 2026 stehen gleich mehrere Adobe-Produkte – ColdFusion, FrameMaker und Magento Open Source. Photoshop fehlt dort, obwohl die Meldung am selben Tag erschien. Ob das an einer unvollständigen Darstellung, einer zeitlichen Verschiebung oder der Einordnung als Bürger-Information liegt, ist ungeklärt.

Unsichere Faktenlage: Was die Quellen nicht hergeben

Die detailliertesten Angaben stammen bislang aus einer sekundären Quelle. Ein abgeschnittenes Snippet eines Advisories von DFN-CERT, veröffentlicht über das Linux-Magazin, spricht von „Photoshop 2025 Version 26.11.8" und „Photoshop 2026 Version 27.11" für Windows und macOS. Diese Versionsnummern sind nicht primärquellenbelegt, und die Angabe „27.11" wirkt auffällig – möglicherweise fehlt eine Stelle. Als gesicherte Patch-Versionen taugen sie nicht.

Dasselbe Snippet nennt für „zwei weitere Schwachstellen" den Schweregrad „mittel" und eine DoS-Folge. Diese Einstufung bezieht sich damit ausdrücklich nicht zwingend auf die Lücken, die zur Codeausführung führen könnten. Eine offizielle Bewertung nach CVSS fehlt in allen vorliegenden Quellen – ebenso jede Angabe zur Anzahl der Schwachstellen. „Mehrere" ist alles, was belegt ist.

Auch Adobe selbst liefert bislang nichts Handfestes: Das Adobe Trust Center weist als Stand den 13. Oktober 2026 aus – einen Tag vor der BSI-Meldung – und enthält keine konkreten Photoshop-Details. Eine Bulletin-ID ist in keiner Quelle genannt.

Photoshop patchen: Was Nutzer jetzt tun sollten

Wer Photoshop produktiv einsetzt, sollte das Programm zeitnah auf den aktuellen Stand bringen – über die Creative-Cloud-App oder den Update-Hinweis im Programm. Automatische Updates verhindern, dass der nächste Hinweis wieder von Hand nachgeholt werden muss. Wer die Version prüfen will, findet sie im Programm unter dem Menüpunkt für Hilfe und Info.

Bis die Details geklärt sind, gilt zudem gesunde Skepsis gegenüber unbekannten PSD-Dateien aus unsicheren Quellen. Das ist eine allgemeine Vorsichtsmaßnahme, keine aus der Meldung abgeleitete Empfehlung – der Angriffsvektor ist nicht bestätigt.

Für Redaktionen und Agenturen lohnt der Blick auf die eigenen Prozesse: Wer Bilddaten von externen Auftraggebern verarbeitet, sollte Patch-Fristen definieren, statt Updates aufzuschieben. Der Fall zeigt außerdem, wie dünn die Faktenlage selbst bei offiziellen Warnungen sein kann.

Fazit: Die Warnung ist echt, ihre Details sind es nicht. Eine Benutzeraktion ist nötig, Schadcode und Absturz sind möglich – doch CVE-Nummern, Schweregrad und bestätigte Fix-Versionen fehlen. Der pragmatische Umgang lautet: updaten, weitere Veröffentlichungen beobachten, Ruhe bewahren.

Quellen