Seis vulnerabilidades críticas en Adobe Experience Manager permiten ejecutar código de forma remota

Qué ha pasado

NVD ha publicado hoy, 13 de octubre de 2026, seis vulnerabilidades en Adobe Experience Manager (AEM), la plataforma de gestión de contenidos web de Adobe. Todas tienen una gravedad crítica y todas pueden derivar en la ejecución de código arbitrario.

Las más graves son CVE-2026-48382, CVE-2026-48383 y CVE-2026-90532, con la puntuación máxima de 10. Son fallos de autorización incorrecta que se pueden explotar a través de la red, sin necesidad de credenciales y sin que ningún usuario tenga que hacer nada. El atacante podría hacerse con el control de cuentas o sesiones, y el impacto puede ir más allá del propio componente vulnerable.

Las otras tres, con una puntuación de 9,9, exigen que el atacante disponga de una cuenta con pocos privilegios:

• CVE-2026-103848: inyección de comandos del sistema operativo.
• CVE-2026-105895: validación incorrecta de los datos de entrada.
• CVE-2026-75732: autorización incorrecta, similar a las tres de CVSS 10.

A quién afecta

Afecta a cualquier organización que utilice Adobe Experience Manager, con especial riesgo para las instancias accesibles desde Internet, que suelen ser las que publican webs corporativas y portales de clientes.

Los datos disponibles no detallan qué versiones están afectadas ni en qué versiones se corrigen los fallos. NVD vincula las seis vulnerabilidades al boletín de seguridad APSB26-152 de Adobe, que es donde conviene confirmar esa información.

Estado de la explotación

Por ahora ninguna de estas vulnerabilidades figura en el catálogo KEV de CISA, es decir, no hay confirmación de que se estén explotando activamente.

Aun así, conviene no relajarse: tres de los fallos tienen la máxima gravedad posible y no requieren autenticación, una combinación que suele atraer rápidamente el interés de los atacantes.

Qué hacer

Recomendamos tratar estas vulnerabilidades como prioritarias y seguir estos pasos:

• Inventariar todas las instancias de Adobe Experience Manager e identificar cuáles son accesibles desde Internet.
• Consultar el boletín APSB26-152 de Adobe para confirmar las versiones afectadas y aplicar las actualizaciones que indique cuanto antes, empezando por los sistemas expuestos.
• Mientras se actualiza, limitar el acceso a las interfaces de administración y de autoría a redes internas o a direcciones de confianza.
• Revisar las cuentas con acceso a AEM y eliminar las innecesarias, ya que tres de los fallos solo requieren una cuenta con pocos privilegios.
• Vigilar los registros en busca de actividad anómala, como accesos no autorizados o la ejecución de comandos inesperados en los servidores.

Tecnologías afectadas

Vulnerabilidades (6)