Adobe六月补丁日：罕见“独角兽”级双CVSS 10分漏洞

2026年6月9日，Adobe发布了一次大规模安全更新，总共修复了横跨11款产品的123个漏洞 。这次发布因一个罕见事件而格外引人注目：Adobe Campaign Classic（APSB26-66）的一份安全公告中，竟然包含了两个CVSS严重性评分均为满分10分的漏洞。此外，这次重要补丁日还包含了对ColdFusion、Acrobat Reader、InDesign和Experience Manager的关键修复，并与微软有史以来规模最大的月度安全更新同时到来 。

Campaign Classic中的“独角兽”：双CVSS 10分漏洞

此次更新最引人注目的部分在于Adobe Campaign Classic。该公告解决了可能导致任意代码执行的严重漏洞，其中两个漏洞的通用漏洞评分系统（CVSS，用于评估软件漏洞严重程度的行业标准，10分为最高）评分达到了满分10分 。

正如零日计划（Zero Day Initiative）在其分析中指出的：“一个CVSS 10分漏洞已属罕见；同一份公告中出现两个，简直是‘独角兽’一样的存在” 。满分的CVSS评分意味着该漏洞易于远程利用，无需用户交互，并且可能对机密性、完整性和可用性造成灾难性影响。

虽然Adobe表示在发布时尚未发现有针对这些Campaign Classic漏洞的活跃攻击，但安全研究人员仍敦促用户立即修补，并预计业界将投入大量精力研究并构建概念验证（PoC）攻击代码 。该修复适用于Windows和Linux平台上ACC v7 build 9394及更早版本的Campaign Classic 。

最高优先级部署：ColdFusion和Campaign Classic

与Campaign Classic一样，Adobe ColdFusion的更新（APSB26-64）也被赋予了部署优先级1级的评级，这是该公司的最高级别，专为具有被攻击高风险性的漏洞保留 。Adobe修复了ColdFusion 2025和2023版本中的严重和重要漏洞，这些漏洞可能导致任意代码执行、权限提升和安全功能绕过 。

只有Campaign Classic和ColdFusion的安全公告获得了这一“优先级1”的认定。六月发布的所有其他产品更新，包括Experience Manager和InDesign，都被评为“优先级3”，这表明Adobe目前认为它们在现实世界中被利用的可能性较小 。

所有受影响产品的修复范围

这123个独立CVE（通用漏洞披露）通过11份安全公告发布。据Qualys称，其中47个被修复的漏洞被评为严重，一旦被利用可能导致任意代码执行、权限提升和安全功能绕过 。受影响的全部产品列表包括：

• Adobe Experience Manager 和 Experience Manager Forms：大量漏洞集中于此，其中包括许多可能导致任意代码执行的跨站脚本（XSS）漏洞 。
• Adobe ColdFusion (APSB26-64)：2025和2023版本中存在严重和重要漏洞，可导致代码执行和权限提升 。
• Adobe Campaign Classic (APSB26-66)：两个罕见的CVSS 10分漏洞，可导致任意代码执行 。
• Adobe Acrobat 和 Reader、InDesign、InCopy、Substance 3D Sampler、Content Credentials SDK、Dreamweaver 和 Format Plugins：均收到了针对代码执行、内存泄漏和拒绝服务等严重和重要漏洞的补丁 。

对于包括Content Credentials SDK和InDesign在内的多款产品，Adobe明确表示未发现任何针对已解决问题的在野利用行为 。

Adobe vs. 微软：两个补丁日的对比

Adobe此次发布了123个漏洞修复，规模虽大，但在微软破纪录的2026年6月补丁日面前，则相形见绌。多家安全机构报告称，微软修复了198到211个漏洞不等 。

指标	微软 (2026年6月)	Adobe (2026年6月)
修复的CVE数量	198-211 (取决于统计方式)	123
严重等级问题数量	32-38	47
在野利用/零日漏洞	发布前已有3个被公开披露	发布时未发现已知的在野利用

微软的发布堪称历史性的异常值，打破了其在2025年10月创下的175个CVE的前纪录 。若将Edge浏览器基于Chromium的补丁计算在内，微软在6月解决的漏洞总数飙升至570个以上，引发了业界关于“补丁末日”（Patch Apocalypse）的讨论 。相比之下，Adobe的发布虽然规模可观，但更符合其季度性大规模更新的趋势 。

技术团队当前的优先事项

对于系统管理员来说，部署优先级很明确。Adobe Campaign Classic和ColdFusion的更新因其“优先级1”评级和漏洞的严重性，特别是那两个CVSS 10分漏洞，应位于补丁列表的首位。尽管尚未检测到在野利用，但考虑到潜在的巨大影响以及ColdFusion历来是攻击者热门目标的历史规律，迅速修补至关重要 。