Adobe heeft zes kritieke kwetsbaarheden gedicht in Adobe Experience Manager (AEM) Forms op Java Enterprise Edition (JEE). Het gaat onder meer om onjuiste autorisatie, onvoldoende invoervalidatie, twee varianten van Server-Side Request Forgery (SSRF), opgeslagen Cross‑Site Scripting (XSS) en Cross‑Site Request Forgery (CSRF). Twee van de zes kunnen op afstand worden uitgevoerd zonder vooraf ingelogd te zijn. Succesvolle aanvallen kunnen leiden tot het uitvoeren van willekeurige code, privilege‑escalatie of het omzeilen van beveiligingsmaatregelen. Adobe meldt geen aanwijzingen voor misbruik in het wild. Deze update verscheen op 22 september 2026. (adobe.com)

De zwaarste fout, CVE‑2026‑75745, krijgt een CVSS‑score van 9,8. Dit is een autorisatieprobleem dat zonder authenticatie en zonder gebruikersactie kan worden misbruikt om code uit te voeren. Daarnaast zijn er onder meer een CSRF‑kwetsbaarheid (CVE‑2026‑75743) en een opgeslagen XSS‑kwetsbaarheid (CVE‑2026‑75744) opgelost; bij de CSRF‑fout is geen login vereist maar wel een gebruikersactie (bijvoorbeeld het bezoeken van een kwaadaardige link). (adobe.com)

Wat betekent dit in de praktijk? AEM Forms op JEE is de Java‑variant van Adobe’s formulierenplatform voor organisaties die complexe, vaak compliance‑gevoelige processen automatiseren. Het draait doorgaans op applicatieservers als JBoss, WebLogic of WebSphere en is vaak gekoppeld aan back‑officesystemen. Juist daarom kan een pre‑auth RCE of SSRF hier veel impact hebben: denk aan datadiefstal, springen naar interne systemen of het misbruiken van serviceaccounts.

Wie is geraakt en welke update heb je nodig?

• AEM 6.5 LTS Forms: Service Pack 2 en ouder zijn kwetsbaar. Update naar LTS Service Pack 3. (adobe.com)
• AEM 6.5 Forms (niet‑LTS): versie 6.5.25 en ouder zijn kwetsbaar. Installeer de hotfix AEMForms‑6.5.0‑0134 (inclusief de bijbehorende vulnerability fix bundle). (adobe.com)

Aanpak en snelle verbeteringen

• Patch nu. Voor 6.5.25 hoort naast de serverpatch ook het installeren van de “vulnerability fix bundle” via de OSGi‑console. Volg de stap‑voor‑stap‑instructies en werk zo nodig ook de Workbench‑installer en client‑libs bij. (experienceleague.adobe.com)
• Beperk uitgaand verkeer van de AEM‑servers om SSRF‑aanvallen te temperen. Laat alleen noodzakelijke bestemmingen toe (bijvoorbeeld identity‑providers of specifieke API’s).
• Controleer integraties: webhooks, connectoren en custom code die externe URL’s aanroept verdienen extra aandacht bij SSRF‑risico’s.
• Versterk sessie‑ en verzoekbeveiliging. Zorg dat CSRF‑bescherming overal actief is en dat formulieren geen onbetrouwbare invoer doorlaten (server‑side valideren).
• Minimaliseer rechten van serviceaccounts en admin‑consoles. Houd beheersinterfaces achter VPN of IP‑allowlists en log alle beheeracties.
• Monitor actief. Zet waarschuwingsregels op verdachte uitgaande aanvragen (SSRF‑indicaties) en op fouten in formuliervelden die kunnen wijzen op XSS‑probes.

Let op productverschillen: dit bulletin betreft AEM Forms op JEE. AEM as a Cloud Service (AEMaaCS) valt onder aparte bulletins en releasecycli. Controleer dus of je on‑prem/JEE draait of AEMaaCS, en volg het juiste pad voor updates. (adobe.com)

Waarom snelheid loont

• Eén van de fouten (CVE‑2026‑75745) is pre‑auth RCE met maximale impact. Zulke bugs duiken vaak snel op in scanners en proof‑of‑concepts, waarna massaal misbruik volgt. Patchen, segmenteren en loggen verkleint je aanvalsoppervlak onmiddellijk. (adobe.com)

Kortom: inventariseer je AEM‑Forms‑versies, plan direct onderhoud in en installeer de beschikbare updates. Combineer de patch met netwerk‑ en configuratie‑hardening om SSRF, XSS en CSRF‑paden dicht te zetten. Daarmee verlaag je de kans op serieuze schade aanzienlijk. (adobe.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.