Июньский «вторник патчей» Adobe 2026: два редких бага с CVSS 10 и 123 исправления

Несмотря на серьезность, Adobe заявила, что на момент выхода патчей активных атак с использованием этих дыр не зафиксировано. Однако исследователи настойчиво рекомендовали устанавливать обновления немедленно, ожидая шквала работ над созданием доказательств эксплуатации (PoC) . Патч касается Campaign Classic ACC v7 сборки 9394 и более ранних версий на Windows и Linux .

Первоочередные задачи: ColdFusion и Campaign Classic

Наряду с Campaign Classic, обновления для Adobe ColdFusion (APSB26-64) также получили приоритет развертывания 1 — наивысший уровень для продуктов с высоким риском атак . В ColdFusion 2025 и 2023 были закрыты критические и важные уязвимости, ведущие к выполнению кода, повышению привилегий и обходу средств защиты .

Только бюллетени для Campaign Classic и ColdFusion удостоились этого статуса. Все остальные продукты, включая Experience Manager и InDesign, получили приоритет 3, что означает значительно меньшую вероятность практического использования злоумышленниками .

Масштаб обновлений

123 уникальных CVE были распределены по 11 бюллетеням безопасности. Согласно Qualys, 47 из закрытых уязвимостей были критическими, а их эксплуатация могла привести к выполнению кода, повышению привилегий и обходу защиты . Полный список пострадавших продуктов:

• Adobe Experience Manager и Experience Manager Forms: Здесь сконцентрировалась значительная часть уязвимостей, включая множество XSS-ошибок, способных привести к выполнению кода .
• Adobe ColdFusion (APSB26-64): Критические и важные уязвимости в версиях 2025 и 2023, ведущие к выполнению кода и повышению привилегий .
• Adobe Campaign Classic (APSB26-66): Две редчайшие уязвимости с CVSS 10, допускающие удаленное выполнение кода .
• Adobe Acrobat и Reader, InDesign, InCopy, Substance 3D Sampler, Content Credentials SDK, Dreamweaver и Format Plugins: Все получили исправления для критических и важных дефектов, включая выполнение кода, утечки памяти и отказы в обслуживании .

Для ряда продуктов, включая Content Credentials SDK и InDesign, Adobe явно подтвердила, что не зафиксировано активного использования ни одной из закрытых проблем .

Adobe против Microsoft: состязание патчей

Выпуск Adobe с 123 уязвимостями, безусловно, масштабен, но его полностью затмил рекордный июньский «вторник патчей» Microsoft, по разным оценкам закрывший от 198 до 211 CVE .

Релиз Microsoft стал исторической аномалией, побив предыдущий рекорд в 175 CVE, установленный в октябре 2025 года . Если же добавить патчи для браузера Edge на базе Chromium, общее число уязвимостей, закрытых Microsoft в июне, превысило 570, породив в отрасли разговоры о «патч-апокалипсисе» . Выпуск Adobe, хоть и внушительный, остался в рамках привычной тенденции к крупным ежеквартальным обновлениям .

Что делать IT-специалистам уже сейчас

Приоритет для системных администраторов очевиден. Обновления для Adobe Campaign Classic и ColdFusion должны возглавить список задач — из-за приоритета 1 и самой природы уязвимостей, особенно двух «десятибалльных» дыр. Активная эксплуатация в дикой среде пока не обнаружена, но потенциальный ущерб и историческая «популярность» ColdFusion у злоумышленников делают быстрое применение патчей обязательным условием безопасности .