Adobe Experience Manager CVSS 10 : CVE-2026-48382 et CVE-2026-90532

Les faits

Le 13 octobre 2026, Adobe a publié l'avis de sécurité APSB26-152 corrigeant deux vulnérabilités critiques dans Adobe Experience Manager (AEM). CVE-2026-48382 et CVE-2026-90532 sont toutes deux des vulnérabilités d'autorisation incorrecte (CWE-863 : Incorrect Authorization) ayant reçu la note maximale CVSS 3.1 de 10,0 sur 10. Ces deux failles permettent à un attaquant distant et non authentifié d'exécuter du code arbitraire sur les serveurs AEM affectés, sans nécessiter d'interaction de la part d'un utilisateur légitime.

Adobe Experience Manager est la plateforme de gestion de contenu web (CMS) et de gestion d'actifs numériques (DAM) phare d'Adobe, déployée par de nombreuses grandes entreprises, médias et administrations pour gérer leurs sites web, portails clients et contenu marketing. Sa large adoption dans les secteurs financier, retail, santé et médias en fait une cible de premier choix pour les acteurs malveillants cherchant un accès aux systèmes de publication ou aux données clients associées.

La classe de vulnérabilité CWE-863 dans le contexte d'AEM signifie que des points d'entrée API ou des servlets Sling (le framework Java sous-jacent d'AEM) ne vérifient pas correctement les droits d'accès avant de traiter les requêtes. Contrairement à une simple absence de contrôle d'accès (CWE-862), l'autorisation incorrecte implique qu'une vérification existe mais peut être contournée — par exemple via une manipulation des paramètres de requête HTTP, un changement de méthode HTTP, une traversée de chemin dans l'URL, ou l'exploitation d'un contrôle d'accès basé sur un attribut falsifiable côté client.

Dans le cas d'AEM, les servlets Sling exposent des points d'entrée REST pour la gestion du contenu (création de pages, upload d'assets, modification de configurations système). CVE-2026-48382 et CVE-2026-90532 exploitent deux chemins distincts où cette vérification est défaillante, permettant à un attaquant de déclencher des opérations réservées aux administrateurs — notamment l'upload et l'exécution de scripts Groovy ou l'invocation de workflows arbitraires via l'API AEM Workflows, qui peut à son tour exécuter du code Java natif sur le serveur d'application sous-jacent (Adobe Experience Manager Foundation sur Apache Felix/OSGi).

Les versions concernées couvrent une large plage : AEM Cloud Service jusqu'à la release 2026.9.28187 (publiée fin septembre 2026), AEM 6.5 LTS Service Pack 3 et tous les packs de services précédents pour AEM 6.5 LTS, ainsi qu'AEM 6.5 Service Pack 25 et les versions antérieures pour la branche AEM 6.5 classique. Cette double couverture Cloud et on-premises amplifie considérablement la surface d'exposition mondiale, car de nombreuses organisations maintiennent encore des instances AEM 6.5 on-premises en raison de la complexité de la migration vers AEM Cloud Service.

Adobe a précisé dans l'advisory APSB26-152 qu'il n'avait pas connaissance d'exploitation active au moment de la publication. Toutefois, la combinaison d'un score CVSS maximal de 10.0, d'une absence d'authentification requise, de l'absence d'interaction utilisateur et de la large utilisation d'AEM en production dans des environnements à haute valeur justifie de traiter ces vulnérabilités avec la même urgence qu'une exploitation in-the-wild confirmée. Des groupes de recherche en sécurité offensive ont historiquement développé des PoC pour des vulnérabilités AEM de ce type dans un délai de 24 à 72 heures après publication d'un advisory, comme ce fut le cas pour CVE-2021-21980 et CVE-2023-38204.

La solution de remédiation pour les instances AEM 6.5 on-premises qui ne peuvent pas immédiatement migrer est le Hotfix GRANITE-72352. Ce hotfix doit être appliqué manuellement via le gestionnaire de packages AEM (CRX Package Manager) — disponible sur le portail Adobe Software Distribution. Pour AEM Cloud Service, Adobe gère le déploiement des correctifs automatiquement, mais les clients doivent vérifier dans Adobe Cloud Manager que leurs environnements ont bien reçu la mise à jour vers la release 2026.9.28386 ou supérieure.

Ces deux CVE s'inscrivent dans le patch Adobe mensuel d'octobre 2026 (Security Bulletin APSB26-152) qui a également traité des vulnérabilités dans Adobe Acrobat Reader, Adobe Commerce (Magento), Adobe Animate et Adobe Substance 3D Modeler. La priorité doit être donnée aux deux failles AEM en raison de leur score CVSS 10.0 maximal et de leur exploitabilité sans authentification sur des instances potentiellement exposées sur Internet.

Impact et exposition

Adobe Experience Manager est utilisé par des milliers d'organisations dans le monde, notamment des entreprises du CAC 40 et du Fortune 500, des éditeurs médias, des institutions bancaires et des administrations publiques. En France, de nombreuses grandes enseignes, compagnies d'assurance, éditeurs de presse et collectivités exploitent des instances AEM pour leur présence web. Une compromission d'AEM donne à l'attaquant un accès total au contenu publié, aux données des formulaires clients, aux credentials de services tiers intégrés (Salesforce CRM, CDN Akamai/Fastly, Adobe Analytics) et potentiellement aux systèmes internes connectés via les connecteurs AEM.

La criticité est amplifiée par le fait qu'AEM est souvent exposé directement sur Internet : les interfaces de publication sont par définition publiques, et les interfaces d'auteur (/editor.html, /crx/de) sont parfois accessibles sans restriction réseau dans des configurations héritées. Un attaquant n'a besoin que d'une instance AEM accessible pour exploiter ces failles. Pour les instances Cloud Service, le risque est partiellement mitigé par les contrôles réseau d'Adobe, mais la responsabilité de vérifier le déploiement du patch incombe au client.

Un scénario d'attaque réaliste : un attaquant identifie via des outils de reconnaissance passive (Shodan, Censys) des instances AEM exposées en analysant les headers HTTP caractéristiques d'AEM (X-Frame-Options Adobe spécifique, cookies AEM). Il envoie une requête HTTP forgée exploitant CVE-2026-48382 pour uploader un shell JSP malveillant via l'API Sling POST Servlet. Après exécution de ce shell, il utilise CVE-2026-90532 pour élever ses accès et obtenir une persistance complète sur le serveur. L'ensemble de la chaîne d'exploitation peut prendre moins de cinq minutes sur une instance non patchée.

Recommandations immédiates

• AEM Cloud Service : vérifier dans Adobe Cloud Manager que tous les environnements (production, staging, développement) ont reçu la release 2026.9.28386 ou ultérieure — Adobe Security Advisory APSB26-152
• AEM 6.5 on-premises : appliquer le Hotfix GRANITE-72352 via CRX Package Manager sans délai — disponible sur Adobe Software Distribution — priorité absolue pour les instances avec interface accessible depuis Internet
• Vérifier les journaux d'accès AEM (fichiers error.log et access.log dans <aem-install>/crx-quickstart/logs/) pour des requêtes POST inattendues vers /bin/, /crx/de, /apps/ ou des paths Sling inhabituels depuis des IP externes
• Restreindre l'accès réseau aux interfaces d'auteur AEM (/editor.html, /crx/de, /system/console) via WAF ou ACL réseau — ces interfaces ne doivent jamais être accessibles depuis Internet sans MFA
• Auditer le CRX Package Manager pour détecter des packages récents non autorisés — un package JSP shell se présente typiquement comme un package de contenu légitime