Adobe Juin 2026 : « Licorne » de sécurité avec deux bugs CVSS 10 et une salve de 123 correctifs

Le 9 juin 2026, Adobe a publié une mise à jour de sécurité massive, corrigeant un total de 123 vulnérabilités réparties sur 11 produits . Cette livraison s'est distinguée par un événement rarissime : un seul bulletin pour Adobe Campaign Classic contenait deux failles affichant le score de sévérité CVSS maximal de 10. L'ensemble des correctifs comprenait également des rustines critiques pour ColdFusion, Acrobat Reader, InDesign et Experience Manager, formant un Patch Tuesday de premier plan qui coïncidait avec la plus grande mise à jour mensuelle de sécurité jamais réalisée par Microsoft .

La « Licorne » dans Campaign Classic : Deux bugs CVSS 10

L'élément le plus marquant de cette mise à jour concernait Adobe Campaign Classic (bulletin APSB26-66). Ce correctif comblait des vulnérabilités critiques pouvant mener à l'exécution de code arbitraire, dont deux avec un score CVSS de 10 sur 10 .

Comme l'a souligné la Zero Day Initiative dans son analyse, « un CVSS 10 est rare ; deux dans le même bulletin, c'est quasiment une licorne » . Un score CVSS parfait signifie que la vulnérabilité est facile à exploiter à distance, ne nécessite aucune interaction de l'utilisateur et peut avoir un impact catastrophique sur la confidentialité, l'intégrité et la disponibilité des systèmes.

Malgré cette sévérité, Adobe a déclaré n'avoir connaissance d'aucune attaque active exploitant ces failles dans Campaign Classic au moment de la publication. Les chercheurs en sécurité ont toutefois exhorté les entreprises à appliquer le correctif immédiatement, anticipant des recherches intensives pour créer des preuves de concept exploitables . Le correctif s'applique à Campaign Classic ACC v7 build 9394 et versions antérieures, sur les plateformes Windows et Linux .

Déploiements Prioritaires : ColdFusion et Campaign Classic

Parallèlement à Campaign Classic, les mises à jour de ColdFusion (APSB26-64) ont reçu une priorité de déploiement de niveau 1, le plus haut niveau chez Adobe. Cette classification est réservée aux vulnérabilités présentant un risque élevé d'être ciblées par des attaquants . Adobe y a corrigé des vulnérabilités jugées « critiques » et « importantes » dans ColdFusion 2025 et 2023, pouvant aboutir à l'exécution de code arbitraire, l'élévation de privilèges et le contournement des fonctions de sécurité .

Seuls les bulletins de Campaign Classic et ColdFusion ont reçu cette désignation « Priorité 1 ». Tous les autres produits de la livraison de juin, y compris Experience Manager et InDesign, ont été classés en Priorité 3, ce qui signifie qu'Adobe les considère actuellement comme moins susceptibles d'être exploités dans des attaques réelles .

Périmètre des corrections pour tous les produits

Les 123 CVE uniques ont été publiées via 11 avis de sécurité. Selon Qualys, 47 des vulnérabilités corrigées étaient critiques, leur exploitation pouvant mener à l'exécution de code arbitraire, l'élévation de privilèges ou le contournement des dispositifs de sécurité . La liste complète des produits concernés comprenait :

• Adobe Experience Manager et Experience Manager Forms : Une grande partie des vulnérabilités s'y concentrait, avec de nombreuses failles de type cross-site scripting (XSS) pouvant aboutir à l'exécution de code arbitraire .
• Adobe ColdFusion (APSb26-64) : Vulnérabilités critiques et importantes dans les versions 2025 et 2023 permettant l'exécution de code et l'élévation de privilèges .
• Adobe Campaign Classic (APSB26-66) : Les deux très rares vulnérabilités CVSS 10 permettant l'exécution de code arbitraire .
• Adobe Acrobat et Reader, InDesign, InCopy, Substance 3D Sampler, Content Credentials SDK, Dreamweaver, et Format Plugins : Tous ont reçu des correctifs pour des failles critiques et importantes impliquant l'exécution de code, des fuites de mémoire et des dénis de service .

Pour plusieurs produits, dont Content Credentials SDK et InDesign, Adobe a confirmé explicitement n'avoir connaissance d'aucune exploitation réelle des problèmes corrigés .

Adobe vs. Microsoft : le choc des Patch Tuesday

La copieuse livraison d'Adobe de 123 vulnérabilités a été largement éclipsée par le Patch Tuesday record de Microsoft en ce mois de juin 2026, au cours duquel divers cabinets de sécurité ont rapporté la correction de 198 à 211 vulnérabilités .

Métrique	Microsoft (Juin 2026)	Adobe (Juin 2026)
CVE corrigées	198-211 (selon la méthodologie de comptage)	123
Problèmes classés critiques	32-38	47
Failles activement exploitées / Zero-Days	3 divulguées publiquement avant la sortie

La publication de Microsoft était une aberration historique, pulvérisant son précédent record de 175 CVE établi en octobre 2025 . En intégrant les correctifs pour le navigateur Edge basé sur Chromium, le nombre total de vulnérabilités traitées par Microsoft en juin a grimpé à plus de 570, suscitant des discussions dans l'industrie sur une véritable « Apocalypse des correctifs » . La publication d'Adobe, bien que substantielle, s'inscrivait davantage dans la lignée de ses grandes mises à jour trimestrielles .

Ce que les équipes informatiques doivent prioriser maintenant

Pour les administrateurs système, la priorité de déploiement est limpide. Les mises à jour d'Adobe Campaign Classic et de ColdFusion doivent figurer en tête de liste en raison de leur classification Priorité 1 et de la nature sévère des vulnérabilités, en particulier les deux bugs au CVSS de 10. Même si aucune exploitation réelle n'a été détectée pour le moment, l'impact potentiel et l'historique de ColdFusion comme cible de choix pour les cybercriminels rendent une application rapide indispensable .