Adobe corrige dos fallas de máxima severidad en Experience Manager que permiten ejecutar código

Adobe corrigió el 13 de octubre dos fallas de severidad máxima en Experience Manager, la plataforma con la que bancos, comercios y grandes empresas administran el contenido de sus sitios web. Las dos permiten ejecutar código sin credenciales y sin que nadie haga clic en nada, según el registro de las fallas.

Qué es la falla

Experience Manager (AEM) controla quién puede ver y modificar cada parte de un sitio. Las dos fallas son errores de autorización: el sistema deja hacer a alguien lo que no debería, y eso termina en ejecución de código con los permisos de la cuenta o la sesión afectada.

En términos técnicos, son autorizaciones incorrectas (CWE-863), registradas como CVE-2026-48382 y CVE-2026-48383. El registro de las fallas les asigna un puntaje de 10, con alcance que se extiende más allá del componente vulnerable. Adobe les da 9,9 en su boletín.

A quién afecta

Afecta a Experience Manager as a Cloud Service hasta la versión 2026.9.28187, a AEM 6.5 LTS hasta el Service Pack 3 y a AEM 6.5 hasta la 6.5.25, según el registro de las fallas. En la nube, Adobe lo corrige en la versión 2026.9.28386. En las instalaciones propias de 6.5 y 6.5 LTS, la corrección es una revisión puntual (hotfix GRANITE-72352), no una versión nueva.

Estado de explotación

Sin explotación conocida: Adobe no reporta ataques y las fallas no están en el catálogo de vulnerabilidades explotadas de CISA.

Antecedentes

Experience Manager recibe boletines de seguridad varias veces al año, casi siempre con decenas de fallas de secuencias de comandos entre sitios (XSS). Que haya dos de severidad máxima en un mismo boletín es menos habitual. El mismo 13 de octubre, Adobe también corrigió fallas críticas en Adobe Commerce, su plataforma de comercio electrónico, entre ellas una de validación de datos que permite ejecutar código (CVE-2026-92464, de 9,1).

Qué hacer

• Instalar el hotfix GRANITE-72352 en AEM 6.5 y 6.5 LTS, siguiendo el boletín APSB26-152 de Adobe.
• En AEM as a Cloud Service, confirmar que el entorno ya corre la versión 2026.9.28386 o posterior.
• Revisar quién tiene acceso a la administración de AEM y limitarla a la red interna mientras se aplica el arreglo.
• Quien use Adobe Commerce, revisar el boletín de ese producto publicado el mismo día.

Ficha técnica

• CVE: CVE-2026-48382 y CVE-2026-48383
• CVSS: 10 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) según el registro de la falla; 9,9 según Adobe
• CWE: CWE-863, autorización incorrecta
• Producto: Adobe Experience Manager (as a Cloud Service, 6.5 LTS y 6.5)
• Versiones corregidas: Cloud Service 2026.9.28386; hotfix GRANITE-72352 para 6.5 y 6.5 LTS
• Aviso del fabricante: APSB26-152, Adobe, 13 de octubre de 2026