Kurzfassung
Foxit PDF Reader und Foxit PDF Editor sind von mehreren Schwachstellen in der Verarbeitung speziell präparierter PDF-Inhalte betroffen. Zu den zentralen Einträgen zählen nun CVE-2026-91790, CVE-2026-91791, CVE-2026-91792, CVE-2026-91793 und CVE-2026-91794, die jeweils mit CVSS 7.8 als hoch bewertet werden; zusätzlich liegen mit CVE-2026-13129, CVE-2026-57238, CVE-2026-13128 und CVE-2026-57256 weitere eng verwandte Meldungen vor. Für Unternehmen im DACH-Raum ist das vor allem dort relevant, wo Foxit breit als Standard-PDF-Anwendung ausgerollt ist und Dateien aus E-Mail, Web oder externen Fachverfahren geöffnet werden.
Was ist passiert?
Die gemeldeten Fehler betreffen die Verarbeitung von PDF-Dateien in Foxit-Produkten. Mehrere Schwachstellen hängen mit Speicherfehlern zusammen, insbesondere mit Use-after-Free-Szenarien, ungültigen Speicherzugriffen im Zuge reentranter JavaScript-Ausführung und einer Schreiboperation außerhalb erlaubter Speichergrenzen.
Konkret geht es um die CVEs CVE-2026-91790, CVE-2026-91791, CVE-2026-91792, CVE-2026-91793 und CVE-2026-91794 für Foxit PDF Reader beziehungsweise Foxit PDF Editor sowie um die ZDI-veröffentlichten Fälle CVE-2026-13129, CVE-2026-57238, CVE-2026-13128 und CVE-2026-57256. Die Angriffe setzen jeweils voraus, dass ein Anwender eine manipulierte Datei öffnet oder in einem passenden Kontext schädliche Inhalte verarbeitet.
Die technische Folge reicht von Abstürzen bis hin zu Informationsabfluss; bei einzelnen Fällen ist auch die Ausführung von Schadcode möglich. Gerade bei PDF-Programmen ist das im Unternehmensalltag relevant, weil solche Dateien regelmäßig aus wenig vertrauenswürdigen Quellen stammen.
Technische Details
CVE-2026-91790 beschreibt einen Use-after-Free-Fehler beim Rendern von Seiteninhalten. Auslöser sind fehlerhaft aufgebaute Bildobjekte mit ungültigen optionalen Inhaltsattributen. Greift die Anwendung danach auf bereits freigegebene interne Strukturen zu, kann sie abstürzen.
Neu hinzugekommen sind zwei weitere hoch bewertete Fälle mit ähnlichem Muster: CVE-2026-91791 beschreibt eine reentrante Ausführungsbedingung mit JavaScript, ausgelöst durch Ereignisse zur Seitensichtbarkeit. Während der Berechnung von Annotationsgrenzen kann Foxit dabei auf ein bereits freigegebenes Page-View-Objekt zugreifen; die Folge ist laut NVD ein ungültiger Speicherzugriff mit Absturz der Anwendung. CVE-2026-91792 betrifft ebenfalls reentrante Abläufe, diesmal bei Zoom- und Layout-Operationen über seiten- und annotationsbezogene JavaScript-Aktionen. Dadurch kann Foxit nach der Freigabe weiter auf Seitenobjekte zugreifen, was in einem Use-after-Free und einem Absturz endet.
Bei CVE-2026-91793 geht es ebenfalls um einen Use-after-Free-Fehler. Eine präparierte PDF-Datei führt Skriptlogik aus, die Rich-Text-Attribute von Anmerkungen mit fehlerhaften Schriftinformationen verändert. Bei der anschließenden Rekonstruktion der Darstellung greift Foxit auf bereits freigegebene Objekte zu.
CVE-2026-91794 fällt etwas anders aus: Hier liegt eine Schreiboperation außerhalb zulässiger Speichergrenzen vor. Ursache sind unzureichende Konsistenz- und Grenzprüfungen bei fehlerhaften Farbraumdaten während des Renderns. Das kann nicht nur zum Absturz führen, sondern laut Beschreibung auch eine Codeausführung ermöglichen.
Für diese fünf Einträge nennt NVD jeweils CVSS 7.8, hoch, mit dem Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Das bedeutet: Ein Angreifer braucht keine Berechtigungen und keine hohe technische Hürde, aber Nutzerinteraktion ist erforderlich, etwa das Öffnen einer präparierten PDF-Datei; der Wert beschreibt die technische Schwere, nicht automatisch die tatsächliche Ausnutzung in freier Wildbahn.
Die weiteren Meldungen ergänzen das Bild: CVE-2026-13129, CVE-2026-57238 und CVE-2026-57256 werden als Informationsabfluss durch Use-after-Free eingeordnet. CVE-2026-13128 beschreibt dagegen eine Schwachstelle, die eine Codeausführung ermöglichen kann. Die ZDI bewertet die Informationsabfluss-Fälle mit CVSS 3.3 und den Fall CVE-2026-13128 mit CVSS 7.8.
Wer ist betroffen?
Betroffen sind laut den veröffentlichten Angaben Installationen von Foxit PDF Reader und Foxit PDF Editor. Die konkreten betroffenen Versionsstände werden in den hier verlinkten Einträgen nicht vollständig und einheitlich aufgeschlüsselt. Wer Foxit in Windows-Arbeitsplätzen, Terminalservern oder virtuellen Desktop-Umgebungen einsetzt, sollte deshalb den gesamten ausgerollten Bestand prüfen.
Besonders relevant ist das für Unternehmen mit hohem PDF-Aufkommen: Rechtsabteilungen, Personalwesen, öffentliche Verwaltung, Gesundheitswesen, Bauwesen und alle Teams, die regelmäßig externe Dokumente empfangen. Auch E-Mail-Gateways und Web-Filter helfen hier nur begrenzt, weil die Schwachstellen erst beim lokalen Öffnen oder Rendern der Datei zum Tragen kommen.
Für Privatnutzer ist die Lage nur dann relevant, wenn Foxit PDF Reader oder Editor tatsächlich installiert ist. Wer stattdessen andere PDF-Anwendungen nutzt, ist von diesen konkreten CVEs nicht betroffen.
Empfohlene Maßnahmen
Erstens: Prüfen Sie kurzfristig, wo Foxit PDF Reader und Foxit PDF Editor im Unternehmen installiert sind. Priorisieren Sie besonders Systeme mit häufigem Dokumenteneingang von außen, etwa Postfächer von Einkauf, HR, Support, Buchhaltung und Rechtsabteilung.
Zweitens: Spielen Sie verfügbare Updates so schnell wie möglich über Ihr Software-Management ein. Da keine Herstellerseite mit Patch-Details übergeben wurde, sollten Admins direkt in den Produkt-Update-Funktionen, im Kundenportal oder über den regulären Hersteller-Support prüfen, welche Builds die genannten CVEs adressieren.
Drittens: Begrenzen Sie bis zur vollständigen Aktualisierung das Risiko durch organisatorische Maßnahmen. Lassen Sie PDF-Dateien aus unbekannten Quellen bevorzugt in isolierten Umgebungen öffnen, etwa per Application Isolation, Remote-Browser-/Datei-Isolation oder in separaten Test-VMs.
Viertens: Überprüfen Sie, ob Skriptfunktionen, aktive Inhalte oder unnötige Zusatzfunktionen in PDF-Anwendungen per Richtlinie eingeschränkt werden können. Das ist kein Ersatz für Patches, senkt aber die Angriffsfläche, insbesondere bei Fällen wie CVE-2026-91791, CVE-2026-91792, CVE-2026-91793 und CVE-2026-13128.
Fünftens: Sensibilisieren Sie Anwender gezielt. Die Angriffe benötigen Nutzerinteraktion. Ein kurzer Hinweis an betroffene Teams, keine unerwarteten PDF-Anhänge oder Download-Dokumente unbesehen zu öffnen, ist hier praktisch wirksam.
Einschätzung von CyberSecurity-News.de
Die Schwachstellen sind technisch ernst zu nehmen, auch wenn der CVSS-Vektor lokalen Zugriff ausweist. In der Praxis bedeutet das bei PDF-Programmen oft nicht, dass ein Angreifer bereits auf dem System sein muss, sondern dass die schädliche Datei lokal durch den Nutzer geöffnet wird. Genau dieses Muster ist im Unternehmensalltag häufig.
Positiv ist, dass die Fehlerbilder recht klar beschrieben sind: wiederholt geht es um Speicherfehler in der PDF-Verarbeitung. Die neu hinzugekommenen CVEs 2026-91791 und 2026-91792 unterstreichen zudem, dass auch JavaScript-getriebene, reentrante Abläufe rund um Seitenansicht, Annotationen, Zoom und Layout ein relevanter Angriffsweg sind. Weniger hilfreich ist, dass die öffentlich sichtbaren Informationen in den hier vorliegenden Einträgen keine saubere, zentrale Übersicht zu betroffenen Versionen und behobenen Builds liefern. Für Administratoren erhöht das den Aufwand bei Inventarisierung und Patch-Freigabe.
Im Vergleich zu vielen breit diskutierten Browser- oder VPN-Lücken ist das kein universeller Internet-Exploit ohne Benutzeraktion. Für Organisationen, die Foxit standardmäßig ausrollen und viele externe PDFs verarbeiten, ist die Sache dennoch operativ wichtig und zeitnah zu behandeln. Für Umgebungen ohne Foxit ist die Meldung dagegen praktisch ohne Relevanz.
Fazit
Wer Foxit PDF Reader oder Editor einsetzt, sollte die nun neun gemeldeten Schwachstellen jetzt in die reguläre Patch-Priorisierung aufnehmen und Systeme mit hohem Dokumenteneingang zuerst aktualisieren. Bis zur vollständigen Bereinigung helfen vor allem Isolation beim Öffnen unbekannter PDFs und klare Vorgaben für Anwender.
