Adobe Haziran 2026 Yama Güncellemesi: 'Tek Boynuzlu At' Kadar Nadir CVSS 10 Hataları ve 123 Düzeltmeli Dev Yama

9 Haziran 2026'da Adobe, 11 ürünü kapsayan 123 güvenlik açığını yamalayan kapsamlı bir güvenlik güncellemesi yayınladı . Bu güncellemenin en çarpıcı yanı, Adobe Campaign Classic için yayınlanan tek bir bültende, maksimum CVSS şiddet puanı olan 10'a sahip iki hatanın bulunmasıydı. Bu olağanüstü durum, Microsoft'un bugüne kadarki en büyük aylık güvenlik yamasını yayınladığı bir Yama Salısı'na denk geldi .

Campaign Classic'teki 'Tek Boynuzlu At': İki CVSS 10 Hatası

Güncellemenin en dikkat çekici kısmı Adobe Campaign Classic (APSB26-66) içindi. Bülten, uzaktan kod yürütmeye yol açabilecek kritik güvenlik açıklarını ele alıyordu ve bunlardan ikisi 10 üzerinden 10 CVSS puanı aldı .

Zero Day Initiative (ZDI) analizinde bu durumu şöyle yorumladı: "Bir CVSS 10 hatası bile nadirdir; aynı bültende iki tane olması adeta bir 'tek boynuzlu at' görmek gibidir" . Mükemmel bir CVSS puanı; saldırının uzaktan ve kolayca yapılabildiğini, hiçbir kullanıcı etkileşimi gerektirmediğini ve verilerin gizliliği, bütünlüğü ile erişilebilirliği üzerinde yıkıcı bir etkiye sahip olabileceğini gösterir.

Adobe, bu kritik öneme rağmen, yamanın yayınlandığı tarihte Campaign Classic açıklarını hedef alan aktif bir saldırıdan haberdar olmadığını belirtti. Buna rağmen güvenlik araştırmacıları, kavram kanıtlama (PoC) kodlarının geliştirilmesi için yoğun bir çalışma başlayacağını öngörerek BT ekiplerine güncellemeleri hemen yapmaları çağrısında bulundu . Yama, hem Windows hem de Linux platformlarındaki Campaign Classic ACC v7 build 9394 ve öncesi sürümler için geçerli .

Öncelik 1 Yüklemeleri: ColdFusion ve Campaign Classic

Adobe, Campaign Classic'in yanı sıra ColdFusion güncellemelerine (APSB26-64) de en yüksek öncelik seviyesi olan "Öncelik 1" atamasını yaptı. Bu seviye, saldırganlar tarafından hedef alınma riski yüksek olan açıklar için ayrılmıştır . Adobe, ColdFusion 2025 ve 2023 sürümlerinde keyfi kod yürütme, yetki yükseltme ve güvenlik özelliği atlatma gibi sonuçlara yol açabilecek kritik ve önemli açıkları yamaladı .

Haziran ayındaki tüm ürünler arasında yalnızca Campaign Classic ve ColdFusion bültenleri bu en yüksek öncelik derecesini aldı. Experience Manager ve InDesign dahil diğer tüm ürünler, Adobe'un şu an için gerçek dünya saldırılarında kullanılma ihtimalini daha düşük gördüğünü belirten Öncelik 3 olarak sınıflandırıldı .

Etkilenen Tüm Ürünlerdeki Düzeltmelerin Kapsamı

123 benzersiz CVE, 11 ayrı güvenlik danışma belgesi altında yayınlandı. Qualys'e göre, yamalanan açıkların 47'si kritik olarak derecelendirildi ve başarılı bir istismar durumunda keyfi kod yürütme, yetki yükseltme ve güvenlik özelliği atlatma gibi sonuçlara yol açabilirdi . Etkilenen ürünlerin tam listesi şöyleydi:

• Adobe Experience Manager ve Experience Manager Forms: Açıkların önemli bir kısmı bu ürünlerde yoğunlaşmıştı; keyfi kod yürütmeye sebep olabilecek çok sayıda Siteler Arası Betik Çalıştırma (XSS) hatası buna dahildi .
• Adobe ColdFusion (APSB26-64): 2025 ve 2023 sürümlerinde kod yürütme ve yetki yükseltmeye neden olabilecek kritik ve önemli açıklar .
• Adobe Campaign Classic (APSB26-66): Keyfi kod yürütmeye izin veren iki nadir CVSS 10 puanlı güvenlik açığı .
• Adobe Acrobat ve Reader, InDesign, InCopy, Substance 3D Sampler, Content Credentials SDK, Dreamweaver ve Format Eklentileri: Kod yürütme, bellek sızıntısı ve hizmet reddi (DoS) gibi kritik ve önemli kusurlar için yamalar aldı .

Content Credentials SDK ve InDesign gibi birkaç ürün için Adobe, ele alınan sorunlarla ilgili olarak internette herhangi bir aktif istismar vakasından haberdar olmadığını açıkça teyit etti .

Adobe vs. Microsoft: Bir Yama Salısı Hikayesi

Adobe'un 123 açıklı dev yaması, güvenlik şirketlerinin 198 ila 211 arasında yama olarak raporladığı, Microsoft'un rekor kıran Haziran 2026 Yama Salısı'nın gölgesinde kaldı .

Metrik	Microsoft (Haziran 2026)	Adobe (Haziran 2026)
Yamanan CVE Sayısı	198-211 (sayım metodolojisine göre)	123
Kritik Olarak Sınıflandırılan	32-38	47
Aktif Sıfır-Gün / İstismar	Yama öncesi 3 adet kamuya açık	Yama anında bilinen bir saldırı yok

Microsoft'un bu yaması tarihi bir aykırı değerdi ve Ekim 2025'te kırdığı 175 CVE'lik kendi rekorunu paramparça etti . Edge tarayıcısı için Chromium tabanlı yamalar da hesaba katıldığında, Microsoft'un Haziran ayında ele aldığı toplam güvenlik açığı sayısı 570'in üzerine çıkarak sektörde bir "Yama Kıyameti" tartışması başlattı . Adobe'un sürümü her ne kadar kapsamlı olsa da, son dönemdeki büyük ve çeyrek dönemle uyumlu güncelleme trendine daha yakındı .

BT Ekipleri Şimdi Nelere Öncelik Vermeli?

Sistem yöneticileri için dağıtım önceliği oldukça net. Adobe Campaign Classic ve ColdFusion güncellemeleri, Öncelik 1 sınıflandırmaları ve özellikle iki CVSS 10 açığının vahim doğası nedeniyle yama listesinin en başında yer almalıdır. Henüz internette aktif bir istismar tespit edilmemiş olsa da, olası etki ve ColdFusion'ın tarihsel olarak saldırganlar için popüler bir hedef olması, bu yamaların hızlıca uygulanmasını elzem kılmaktadır .