"Yksisarvisbugit" Campaign Classicissa: Kaksi CVSS 10 -haavoittuvuutta

Päivityksen huomiota herättävin osa oli Adobe Campaign Classicin (APSB26-66) tietoturvatiedote. Se käsitteli kriittisiä haavoittuvuuksia, jotka mahdollistavat mielivaltaisen koodin suorittamisen – kaksi niistä ansaitsi täyden CVSS 10/10 -pistemäärän .

Zero Day Initiative -tietoturvaryhmä kommentoi analyysissään: "CVSS 10 on harvinainen; kaksi samassa tiedotteessa on käytännössä yksisarvinen" . Täydellinen CVSS-pistemäärä tarkoittaa, että haavoittuvuus on helppo hyödyntää etänä, ei vaadi käyttäjältä toimenpiteitä ja voi aiheuttaa katastrofaalisia seurauksia tietojen luottamuksellisuudelle, eheydelle ja saatavuudelle.

Vakavuudesta huolimatta Adobe vahvisti, ettei se ollut tietoinen aktiivisista hyökkäyksistä, joissa näitä Campaign Classicin aukkoja olisi hyödynnetty julkaisuhetkellä. Tietoturva-asiantuntijat kehottivat kuitenkin välittömään korjaamiseen, sillä konseptitodistushyökkäyksiä (PoC) odotettiin kehitettävän nopeasti . Korjaus koskee Campaign Classic ACC v7 build 9394:ää ja sitä aiempia versioita sekä Windows- että Linux-alustoilla .

Priority 1 -päivitykset: ColdFusion ja Campaign Classic

Campaign Classicin ohella Adoben ColdFusion-päivitykset (APSB26-64) saivat Priority 1 -käyttöönottoluokituksen. Tämä on yhtiön korkein kiireellisyysluokka, joka on varattu haavoittuvuuksille, joihin kohdistuu suuri riski joutua hyökkäysten kohteeksi . Adobe paikkasi kriittisiä ja merkittäviä haavoittuvuuksia ColdFusion 2025:stä ja 2023:sta, jotka saattoivat johtaa mielivaltaiseen koodin suorittamiseen, käyttöoikeuksien korottamiseen ja tietoturvaominaisuuksien ohittamiseen .

Vain Campaign Classic- ja ColdFusion-tiedotteet saivat tämän Priority 1 -merkinnän. Kaikki muut kesäkuun päivityksen piirissä olleet tuotteet, mukaan lukien Experience Manager ja InDesign, saivat Priority 3 -luokituksen. Tämä tarkoittaa, että Adobe pitää niiden hyödyntämistä todellisissa hyökkäyksissä tällä hetkellä epätodennäköisempänä .

Korjausten laajuus kaikissa tuotteissa

Nämä 123 yksilöityä CVE-haavoittuvuutta julkaistiin 11 erillisen tietoturvatiedotteen kautta. Qualysin mukaan 47 paikatuista haavoittuvuuksista oli luokiteltu kriittisiksi, ja niiden hyödyntäminen saattoi johtaa mielivaltaisen koodin suorittamiseen, käyttöoikeuksien korottamiseen ja tietoturvaominaisuuksien ohittamiseen . Täydellinen lista korjauksen saaneista tuotteista:

• Adobe Experience Manager ja Experience Manager Forms: Suuri osa haavoittuvuuksista keskittyi tähän tuotteeseen, mukaan lukien lukuisia cross-site scripting (XSS) -aukkoja, jotka saattoivat johtaa koodin suorittamiseen .
• Adobe ColdFusion (APSB26-64): Kriittisiä ja tärkeitä haavoittuvuuksia versioissa 2025 ja 2023, jotka voivat johtaa koodin suorittamiseen ja käyttöoikeuksien korottamiseen .
• Adobe Campaign Classic (APSB26-66): Kaksi harvinaista CVSS 10 -haavoittuvuutta, jotka mahdollistavat mielivaltaisen koodin suorittamisen .
• Adobe Acrobat ja Reader, InDesign, InCopy, Substance 3D Sampler, Content Credentials SDK, Dreamweaver ja Format Plugins: Kaikki saivat korjauksia kriittisiin ja tärkeisiin aukkoihin, jotka liittyivät koodin suorittamiseen, muistivuotoihin ja palvelunestohyökkäyksiin .

Useiden tuotteiden, kuten Content Credentials SDK:n ja InDesignin, osalta Adobe vahvisti nimenomaisesti, ettei se ollut tietoinen korjatuissa asioissa tapahtuneista aktiivisista hyväksikäytöistä .

Adobe vs. Microsoft: Kahden korjaustiistain tarina

Adoben 123 haavoittuvuuden korjauspaketti oli suuri, mutta se jäi dramaattisesti Microsoftin kesäkuun 2026 ennätyksellisen korjaustiistain varjoon. Eri tietoturvayhtiöt raportoivat Microsoftin paikanneen 198–211 haavoittuvuutta .

Microsoftin julkaisu oli historiallinen poikkeus, joka murskasi lokakuussa 2025 asetetun aiemman 175 CVE:n ennätyksen . Kun mukaan lasketaan vielä Chromium-pohjaiset selainpäivitykset Edgelle, Microsoftin kesäkuussa korjaamien haavoittuvuuksien kokonaismäärä nousi yli 570:een. Tämä herätti alalla keskustelua jopa "korjausapokalypsistä" . Adoben julkaisu, vaikkakin mittava, noudatti enemmän sen tyypillistä linjaa suurissa, neljännesvuosittain ajoittuvissa päivityksissä .

Mihin IT-tiimien tulisi keskittyä nyt

Järjestelmänvalvojille päivitysten tärkeysjärjestys on selvä. Adobe Campaign Classicin ja ColdFusionin päivitysten tulisi olla korjauslistan kärjessä niiden Priority 1 -luokituksen ja haavoittuvuuksien vakavan luonteen vuoksi – erityisesti kahden CVSS 10 -bugin takia. Vaikka aktiivisia hyväksikäyttöjä ei ole toistaiseksi havaittu, mahdollisten seurausten vakavuus ja ColdFusionin tunnettu historia hyökkääjien suosimana kohteena tekevät nopeasta korjaamisesta välttämätöntä .

"Yksisarvisbugit" Campaign Classicissa: Kaksi CVSS 10 -haavoittuvuutta

Päivityksen huomiota herättävin osa oli Adobe Campaign Classicin (APSB26-66) tietoturvatiedote. Se käsitteli kriittisiä haavoittuvuuksia, jotka mahdollistavat mielivaltaisen koodin suorittamisen – kaksi niistä ansaitsi täyden CVSS 10/10 -pistemäärän .

Zero Day Initiative -tietoturvaryhmä kommentoi analyysissään: "CVSS 10 on harvinainen; kaksi samassa tiedotteessa on käytännössä yksisarvinen" . Täydellinen CVSS-pistemäärä tarkoittaa, että haavoittuvuus on helppo hyödyntää etänä, ei vaadi käyttäjältä toimenpiteitä ja voi aiheuttaa katastrofaalisia seurauksia tietojen luottamuksellisuudelle, eheydelle ja saatavuudelle.

Vakavuudesta huolimatta Adobe vahvisti, ettei se ollut tietoinen aktiivisista hyökkäyksistä, joissa näitä Campaign Classicin aukkoja olisi hyödynnetty julkaisuhetkellä. Tietoturva-asiantuntijat kehottivat kuitenkin välittömään korjaamiseen, sillä konseptitodistushyökkäyksiä (PoC) odotettiin kehitettävän nopeasti . Korjaus koskee Campaign Classic ACC v7 build 9394:ää ja sitä aiempia versioita sekä Windows- että Linux-alustoilla .

Priority 1 -päivitykset: ColdFusion ja Campaign Classic

Campaign Classicin ohella Adoben ColdFusion-päivitykset (APSB26-64) saivat Priority 1 -käyttöönottoluokituksen. Tämä on yhtiön korkein kiireellisyysluokka, joka on varattu haavoittuvuuksille, joihin kohdistuu suuri riski joutua hyökkäysten kohteeksi . Adobe paikkasi kriittisiä ja merkittäviä haavoittuvuuksia ColdFusion 2025:stä ja 2023:sta, jotka saattoivat johtaa mielivaltaiseen koodin suorittamiseen, käyttöoikeuksien korottamiseen ja tietoturvaominaisuuksien ohittamiseen .

Vain Campaign Classic- ja ColdFusion-tiedotteet saivat tämän Priority 1 -merkinnän. Kaikki muut kesäkuun päivityksen piirissä olleet tuotteet, mukaan lukien Experience Manager ja InDesign, saivat Priority 3 -luokituksen. Tämä tarkoittaa, että Adobe pitää niiden hyödyntämistä todellisissa hyökkäyksissä tällä hetkellä epätodennäköisempänä .

Korjausten laajuus kaikissa tuotteissa

Nämä 123 yksilöityä CVE-haavoittuvuutta julkaistiin 11 erillisen tietoturvatiedotteen kautta. Qualysin mukaan 47 paikatuista haavoittuvuuksista oli luokiteltu kriittisiksi, ja niiden hyödyntäminen saattoi johtaa mielivaltaisen koodin suorittamiseen, käyttöoikeuksien korottamiseen ja tietoturvaominaisuuksien ohittamiseen . Täydellinen lista korjauksen saaneista tuotteista:

• Adobe Experience Manager ja Experience Manager Forms: Suuri osa haavoittuvuuksista keskittyi tähän tuotteeseen, mukaan lukien lukuisia cross-site scripting (XSS) -aukkoja, jotka saattoivat johtaa koodin suorittamiseen .
• Adobe ColdFusion (APSB26-64): Kriittisiä ja tärkeitä haavoittuvuuksia versioissa 2025 ja 2023, jotka voivat johtaa koodin suorittamiseen ja käyttöoikeuksien korottamiseen .
• Adobe Campaign Classic (APSB26-66): Kaksi harvinaista CVSS 10 -haavoittuvuutta, jotka mahdollistavat mielivaltaisen koodin suorittamisen .
• Adobe Acrobat ja Reader, InDesign, InCopy, Substance 3D Sampler, Content Credentials SDK, Dreamweaver ja Format Plugins: Kaikki saivat korjauksia kriittisiin ja tärkeisiin aukkoihin, jotka liittyivät koodin suorittamiseen, muistivuotoihin ja palvelunestohyökkäyksiin .

Useiden tuotteiden, kuten Content Credentials SDK:n ja InDesignin, osalta Adobe vahvisti nimenomaisesti, ettei se ollut tietoinen korjatuissa asioissa tapahtuneista aktiivisista hyväksikäytöistä .

Adobe vs. Microsoft: Kahden korjaustiistain tarina

Adoben 123 haavoittuvuuden korjauspaketti oli suuri, mutta se jäi dramaattisesti Microsoftin kesäkuun 2026 ennätyksellisen korjaustiistain varjoon. Eri tietoturvayhtiöt raportoivat Microsoftin paikanneen 198–211 haavoittuvuutta .

Microsoftin julkaisu oli historiallinen poikkeus, joka murskasi lokakuussa 2025 asetetun aiemman 175 CVE:n ennätyksen . Kun mukaan lasketaan vielä Chromium-pohjaiset selainpäivitykset Edgelle, Microsoftin kesäkuussa korjaamien haavoittuvuuksien kokonaismäärä nousi yli 570:een. Tämä herätti alalla keskustelua jopa "korjausapokalypsistä" . Adoben julkaisu, vaikkakin mittava, noudatti enemmän sen tyypillistä linjaa suurissa, neljännesvuosittain ajoittuvissa päivityksissä .

Mihin IT-tiimien tulisi keskittyä nyt

Järjestelmänvalvojille päivitysten tärkeysjärjestys on selvä. Adobe Campaign Classicin ja ColdFusionin päivitysten tulisi olla korjauslistan kärjessä niiden Priority 1 -luokituksen ja haavoittuvuuksien vakavan luonteen vuoksi – erityisesti kahden CVSS 10 -bugin takia. Vaikka aktiivisia hyväksikäyttöjä ei ole toistaiseksi havaittu, mahdollisten seurausten vakavuus ja ColdFusionin tunnettu historia hyökkääjien suosimana kohteena tekevät nopeasta korjaamisesta välttämätöntä .