أصدرت شركة Adobe نشرتين أمنيتين في 27 أكتوبر 2026، لمعالجة تسع ثغرات حرجة تتراوح تقييماتها بين 9.1 و9.9 وفق مقياس CVSS 3.1. تتوزع هذه الثغرات بواقع ثماني في منصة Campaign Classic ضمن النشرة APSB26-162، وثغرة واحدة في تطبيقات Adobe Connect ضمن النشرة APSB26-182، في حين تؤكد الشركة عدم رصدها لأي استغلال فعلي لهذه الثغرات حتى الآن.
تؤثر ثغرات Campaign Classic الثماني في الإصدار 7.4.4 build 9402 وما قبله عبر أنظمة Windows وLinux، وعولجت بتحديث يحمل رقم الإصدار 7.4.4 build 9403. يعتمد التمييز بين النسخة المتأثرة والمصلحة حصراً على رقم البناء، نظراً لبقاء رقم الإصدار الرئيسي 7.4.4 ثابتاً دون تغيير.
تتضمن الثغرات الثماني ثلاثاً تتيح تنفيذ برمجيات خبيثة، وهي: حقن شيفرة (CVE-2026-104351 بتقييم CVSS عند 9.9)، وحقن أوامر نظام التشغيل (CVE-2026-104353 بتقييم CVSS عند 9.9)، وتفويض غير صحيح (CVE-2026-105780 بتقييم CVSS عند 9.9). تشير متجهات التقييم المنشورة إلى إمكانية استغلال هذه الثغرات الثلاث عبر الشبكة دون الحاجة إلى تفاعل المستخدم، وتتطلب فقط حساباً بصلاحيات منخفضة.
تشمل النشرة أربع ثغرات حقن SQL تتيح تجاوز ميزات أمنية، وهي: (CVE-2026-105489 بتقييم CVSS عند 9.9)، و(CVE-2026-105781 بتقييم CVSS عند 9.8)، إضافة إلى (CVE-2026-104354 بتقييم CVSS عند 9.1) و(CVE-2026-105779 بتقييم CVSS عند 9.1). سُجلت ثغرة برمجة نصية عبر مواقع الويب (CVE-2026-104350 بتقييم CVSS عند 9.3) قادرة على رفع الصلاحيات. توضح المتجهات أن الثغرة CVE-2026-105781 قابلة للاستغلال دون حساب أو تفاعل مستخدم، في حين تتطلب الثغرة CVE-2026-104350 تفاعل المستخدم دون الحاجة لوجود حساب.
على صعيد Adobe Connect، عالجت النشرة ثغرة حقن شيفرة (CVE-2026-48360 بتقييم CVSS عند 9.6) تتيح تنفيذ شيفرات تعسفية وتتطلب تفاعل المستخدم دون حساب. تؤثر الثغرة في التطبيق المكتبي حتى الإصدار 2026.8.51 عبر Windows، و2026.08.45 عبر macOS بمعمارية Silicon، و2026.01.39 عبر macOS بمعمارية Intel، وتطبيق Android حتى الإصدار 4.4. وفرت Adobe التحديثات الأمنية عبر الإصدارات 2026.9.61 لنظام Windows، و2026.10.66 لنظام macOS Silicon، و2026.10.170 لنظام macOS Intel، و4.5 لنظام Android. نُسب اكتشاف هذه الثغرة للباحث a_l، بخلاف ثغرات Campaign Classic التي لم يُعلن عن مكتشفيها.
أدرج المركز الكندي للأمن السيبراني هذه المنتجات ضمن التنبيه AV26-1092 الصادر في 28 أكتوبر 2026، إلى جانب تطبيقي Substance 3D Painter وCreative Cloud Desktop من Adobe. ودعا مدراء الأنظمة إلى مراجعة الروابط وتطبيق التحديثات، مع تأكيد غياب أي نشاط استغلالي مسجل.
يذكر أن منصة Campaign Classic شهدت معالجات أمنية سابقة خلال العام الجاري، حيث نشرت منصة Cybercast في 2 أغسطس 2026 تقريراً عن النشرة APSB26-114 التي رقعت ثغرتين، بلغت إحداهما تقييم 10.0 وعولجت ضمن البناء 9398.
