Adobe dicht negen kwetsbaarheden in Connect en de Android‑app. De fixes zitten in Adobe Connect 12.12 en Adobe Connect Android Mobile App 4.5. In totaal zijn zeven lekken als kritiek beoordeeld; twee als belangrijk. Succesvolle aanvallen kunnen leiden tot het uitvoeren van willekeurige code, privilege‑escalatie, het uitlezen van bestanden en het omzeilen van beveiligingsmaatregelen. Adobe meldt dat er op het moment van publicatie geen misbruik in het wild bekend is. (helpx.adobe.com)

De zwaargewicht onder de lekken is CVE‑2026‑75682: een SQL‑injectiekwetsbaarheid met een CVSS‑score van 9,9. Daarmee kan een aanvaller met beperkte rechten alsnog willekeurige code uitvoeren. Zes van de zeven kritieke kwetsbaarheden scoren 9,3 of hoger. (helpx.adobe.com)

Daarnaast zijn er meerdere XSS‑problemen opgelost. CVE‑2026‑75684, CVE‑2026‑75689 en CVE‑2026‑75697 (opgeslagen XSS) kunnen uitmonden in privilege‑escalatie. CVE‑2026‑75698 (reflected XSS) en CVE‑2026‑75686 (onvoldoende invoervalidatie) kunnen leiden tot code‑uitvoering. Voor deze vijf geldt: geen authenticatie nodig, wel gebruikersinteractie. (helpx.adobe.com)

Opvallend is ook CVE‑2026‑34689, een path‑traversal met een CVSS‑score van 8,6. Die maakt het mogelijk om zonder inloggen en zonder gebruikersactie bestanden uit te lezen buiten de bedoelde mappenstructuur. (app.opencve.io)

Tot slot zijn er twee belangrijke (maar niet kritieke) issues verholpen: CVE‑2026‑83964 (onvoldoende certificaatvalidatie, security‑feature bypass) en CVE‑2026‑48361 (opgeslagen XSS met lagere impact). (helpx.adobe.com)

Wat je nu het beste doet

• Update zo snel mogelijk naar Adobe Connect 12.12 en Android‑app 4.5. Adobe markeert deze updates als Prioriteit 2: installeer binnen een normale onderhoudscyclus, maar wacht niet onnodig. (helpx.adobe.com)
• Gebruik je Connect Hosted? Adobe is op 27 juni 2026 begonnen met gefaseerde upgrades. On‑premises omgevingen kregen het 12.12‑installatiepakket per 5 september 2026. Controleer of jouw tenant of installatie al op dit niveau draait. (helpx.adobe.com)
• Draai je on‑prem? Test de patch in acceptatie, maak een back‑up van de database en blokkeer inbound verkeer naar beheerkantoren tijdens het onderhoudsvenster.
• Overbrug tot patchen kan met mitigaties als: WAF‑regels tegen SQLi/XSS, strengere inputvalidatie in eigen integraties, en het beperken van toegang tot beheer‑endpoints tot vertrouwde IP‑ranges. Deze maatregelen vervangen de update niet.

Waarom dit ertoe doet
Connect is veel gebruikt voor webinars, trainingen en virtuele klaslokalen. Een combinatie van SQL‑injectie, XSS en path‑traversal raakt precies de onderdelen waar gebruikersdata en sessies samenkomen. Vooral het feit dat sommige aanvallen geen authenticatie of gebruikersactie vereisen, vergroot het risico in omgevingen die vanaf internet bereikbaar zijn. Updaten is daarom de snelste en effectiefste manier om de risico’s terug te brengen. (helpx.adobe.com)

Versies in één oogopslag

• Kwetsbare versies: Adobe Connect 12.11 en ouder; Android‑app 4.4 en ouder.
• Niet‑kwetsbaar na update: Adobe Connect 12.12 (inclusief 12.11.1) en Android‑app 4.5. (helpx.adobe.com)

Bronnen met details over CVE’s, CVSS‑scores en beschikbaarheid van fixes zijn te vinden in het officiële security‑bulletin APSB26‑150 en de release‑notes van versie 12.12. (helpx.adobe.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.