Adobe Patch Tuesday de Junho de 2026: Os Raros Bugs CVSS 10 'Unicórnio' e Como o Lançamento se Compara ao Recorde da Microsoft

Em 9 de junho de 2026, a Adobe lançou uma atualização de segurança substancial, corrigindo um total de 123 vulnerabilidades em 11 produtos . O lançamento se destacou por um evento raro: um único boletim para o Adobe Campaign Classic continha dois bugs com a pontuação máxima de severidade CVSS de 10. A atualização mais ampla também incluiu correções críticas para ColdFusion, Acrobat Reader, InDesign e Experience Manager, formando um Patch Tuesday significativo que coincidiu com o maior lançamento mensal de segurança da história da Microsoft .

O 'Unicórnio' no Campaign Classic: Dois Bugs CVSS 10

A parte mais chamativa da atualização estava no Adobe Campaign Classic (APSB26-66). O boletim abordou vulnerabilidades críticas que poderiam levar à execução arbitrária de código, com duas delas recebendo uma pontuação CVSS de 10 em 10 .

Como a Zero Day Initiative (ZDI) observou em sua análise, "Um CVSS 10 é raro; dois no mesmo boletim é praticamente um unicórnio" . Uma pontuação CVSS perfeita indica uma vulnerabilidade que é fácil de explorar remotamente, não requer interação do usuário e pode ter um impacto catastrófico na confidencialidade, integridade e disponibilidade do sistema.

Apesar da gravidade, a Adobe afirmou não ter conhecimento de nenhum ataque ativo explorando essas falhas do Campaign Classic no momento do lançamento. No entanto, especialistas em segurança recomendaram a aplicação imediata dos patches, esperando uma intensa pesquisa para a criação de provas de conceito (PoC) para exploração . A correção se aplica ao Campaign Classic ACC v7 build 9394 e versões anteriores, tanto no Windows quanto no Linux .

Atualizações de Prioridade 1: ColdFusion e Campaign Classic

Junto com o Campaign Classic, as atualizações do ColdFusion (APSB26-64) receberam uma classificação de prioridade de implementação 1, o nível mais alto da empresa, reservado para vulnerabilidades que apresentam alto risco de serem alvo de ataques . A Adobe corrigiu vulnerabilidades críticas e importantes no ColdFusion 2025 e 2023 que poderiam resultar em execução arbitrária de código, escalonamento de privilégios e evasão de funcionalidades de segurança .

Apenas os boletins do Campaign Classic e do ColdFusion receberam essa designação de Prioridade 1. Todos os outros produtos no lançamento de junho, incluindo Experience Manager e InDesign, foram classificados como Prioridade 3, indicando que a Adobe atualmente os considera menos propensos a serem explorados em ataques do mundo real .

Escopo das Correções em Todos os Produtos Afetados

As 123 CVEs únicas foram lançadas em 11 boletins de segurança. De acordo com a Qualys, 47 das vulnerabilidades corrigidas foram classificadas como críticas, com potencial de exploração levando à execução arbitrária de código, escalonamento de privilégios e evasão de recursos de segurança . A lista completa de produtos afetados incluiu:

• Adobe Experience Manager e Experience Manager Forms: Uma parcela significativa das vulnerabilidades estava concentrada aqui, incluindo inúmeras falhas de cross-site scripting (XSS) que poderiam levar à execução arbitrária de código .
• Adobe ColdFusion (APSB26-64): Vulnerabilidades críticas e importantes nas versões 2025 e 2023 que levam à execução de código e escalonamento de privilégios .
• Adobe Campaign Classic (APSB26-66): As duas raras vulnerabilidades CVSS 10 que permitem a execução arbitrária de código .
• Adobe Acrobat e Reader, InDesign, InCopy, Substance 3D Sampler, Content Credentials SDK, Dreamweaver e Format Plugins: Todos receberam patches para falhas críticas e importantes envolvendo execução de código, vazamento de memória e negação de serviço .

Para vários produtos, incluindo o Content Credentials SDK e o InDesign, a Adobe confirmou explicitamente que não tinha conhecimento de nenhuma exploração real das vulnerabilidades abordadas .

Adobe vs. Microsoft: Um Conto de Dois Patch Tuesdays

O lançamento de 123 vulnerabilidades da Adobe, embora massivo, foi dramaticamente ofuscado pelo recorde absoluto do Patch Tuesday de junho de 2026 da Microsoft, que, segundo relatos de várias empresas de segurança, corrigiu entre 198 e 211 vulnerabilidades .

Métrica	Microsoft (Junho de 2026)	Adobe (Junho de 2026)
CVEs Corrigidas	198-211 (dependendo da metodologia de contagem)	123
Problemas Classificados como Críticos	32-38	47
Explorados Ativamente / Zero-Days	3 divulgados publicamente antes do lançamento	Nenhuma exploração ativa conhecida no momento do lançamento

O lançamento da Microsoft foi um ponto fora da curva histórico, quebrando seu recorde anterior de 175 CVEs estabelecido em outubro de 2025 . Ao levar em conta os patches para navegadores baseados no Chromium para o Edge, o número total de vulnerabilidades corrigidas pela Microsoft em junho disparou para mais de 570, gerando discussões na indústria sobre um "Apocalipse de Patches" . O lançamento da Adobe, embora substancial, estava mais alinhado com sua tendência de grandes atualizações trimestrais .

O Que as Equipes de TI Devem Priorizar Agora

Para administradores de sistemas, a prioridade de implementação é clara. As atualizações do Adobe Campaign Classic e do ColdFusion devem estar no topo da lista de patches devido à sua classificação de Prioridade 1 e à natureza severa das vulnerabilidades, particularmente os dois bugs CVSS 10. Embora nenhum exploit tenha sido detectado em uso real, o impacto potencial e o padrão histórico do ColdFusion ser um alvo popular para atacantes tornam a aplicação rápida dos patches essencial .