Adobe выпустила экстренные патчи для семи критических уязвимостей в ColdFusion и Campaign Classic, включая удалённое выполнение кода без аутентификации

Adobe выпустила экстренные патчи для семи критических уязвимостей в ColdFusion и Campaign Classic, включая удалённое выполнение кода без аутентификации. Фото: СС0

Шесть из них затрагивают ColdFusion 2025.9, 2023.20 и более ранние версии, позволяя злоумышленникам без прав доступа удалённо выполнять код на незащищённых системах, причём для эксплуатации не требуется взаимодействия с пользователем.

Седьмая уязвимость в Campaign Classic 7.4.3 build 9396 и старше также ведёт к выполнению произвольного кода, но только в контексте текущего пользователя и только в локальных или гибридных развёртываниях — облачные экземпляры Adobe уже защищены.

По данным Adobe, на момент выпуска обновлений компания не располагает сведениями об активной эксплуатации этих уязвимостей, однако CISA уже включила соответствующие CVE в каталог активно используемых недостатков.

За последние пять лет в продукты Adobe было внесено 79 уязвимостей, использовавшихся в реальных атаках, из них 10 — вымогательскими группировками, что подчёркивает высокую ставку для администраторов ColdFusion и Campaign.

Одновременно Adobe объявила об изменении графика выпуска бюллетеней безопасности: с 14 июля 2026 года компания перейдёт с ежемесячного на двухнедельный цикл, выпуская обновления во второй и четвёртый вторник каждого месяца, при этом внеочередные патчи для активно используемых уязвимостей нулевого дня будут публиковаться по мере необходимости.

Это решение, анонсированное директором по безопасности Adobe Анчал Гуптой, призвано ускорить распространение критических исправлений и сократить окно уязвимости для корпоративных пользователей.