أصدرت شركة Adobe في 13 أكتوبر 2026 إحدى عشرة نشرة أمنية في يوم واحد، تغطي منتجات Experience Manager وColdFusion وAdobe Commerce وPhotoshop وContent Credentials SDK وFrameMaker وDimension وBridge، إلى جانب منتجات Substance 3D الثلاثة: Stager وSampler وDesigner. وتقدر منصة SecurityWeek في إحصاءاتها لهذه النشرات أن مجموع الثغرات المعالجة يبلغ نحو 176 ثغرة.
وتحمل نشرة AEM (APSB26-152) أولوية من الدرجة الثانية، وتعالج ثغرات حرجة ومتوسطة قد تتيح تنفيذ تعليمات برمجية عشوائية، وتجاوز ميزات أمنية، ورفع الصلاحيات، حيث تضم 35 معرف CVE. وتشمل الإصدارات المتأثرة كلاً من AEM Cloud Service حتى الإصدار 2026.9.28187، وAEM 6.5 حتى حزمة الخدمة Service Pack 25، وAEM 6.5 LTS حتى Service Pack 3. ويعالج التحديث الجديد إصدار Cloud Service برقم 2026.9.28386، بينما تتوفر حزم إصلاح سريعة للإصدارين الآخرين.
وفي نشرة ColdFusion يوجد 32 معرف CVE بدرجات خطورة تتراوح بين الحرجة والعالية والمتوسطة، والتي قد تؤدي إلى تنفيذ تعليمات برمجية عشوائية، وكتابة ملفات في النظام، ورفع الصلاحيات، وقراءة الملفات، وتعطيل التطبيق، وكشف محتوى الذاكرة. وتعالج هذه الثغرات في الإصدارين 2025.0.14 و2023.0.26 كأولوية تحديث من الدرجة الأولى، وتشير النشرة إلى ضرورة استخدام وثائق مرشح التسلسل (serial filter) للحماية من هجمات إلغاء التسلسل غير الآمن.
وتعالج نشرة Adobe Commerce (APSB26-153)، المصنفة كأولوية من الدرجة الثانية كذلك، 11 معرف CVE، من بينها خمس ثغرات حرجة، أربع منها لا تتطلب مصادقة لاستغلالها. وتبرز أخطرها (CVE-2026-103849 بتقييم CVSS عند 10.0)، وهي ثغرة حقن في محرك القوالب تتيح تنفيذ تعليمات برمجية عشوائية. وتطال هذه الثغرات إصدارات Adobe Commerce من 2.4.4 إلى 2.4.9، وAdobe Commerce B2B، وMagento Open Source بتحديثات سبتمبر وما قبلها، وتتم معالجتها عبر تحديثات أكتوبر والإصدار التجريبي 2.4.10-alpha1. وتطلب Adobe تطبيق الإصلاح السريع للثغرة CVE-2026-75650 الصادرة في نشرة 7 سبتمبر، إلى جانب التحديثات الحالية.
أما Photoshop (APSB26-158) فتتضمن 18 معرف CVE، منها 16 ثغرة عالية الخطورة قد تتيح تنفيذ تعليمات برمجية عشوائية، وثغرتان متوسطتان قد تؤديان لتعطيل التطبيق، وتتطلب جميعها تفاعل المستخدم لاستغلالها. وتُعالج عبر الإصدار 27.11 من Photoshop 2026، والإصدار 26.11.8 من Photoshop 2025 من خلال تطبيق Creative Cloud. وتصنف Adobe هذه النشرات كأولوية من الدرجة الثالثة، إلى جانب نشرات FrameMaker التي تضم 10 معرفات، وDimension بـ 7 معرفات، وBridge، وContent Credentials SDK، ومنتجات Substance 3D الثلاثة.
وتوفر النشرات تقييم CVSS لكل ثغرة؛ إذ تشمل نشرة Experience Manager نحو 14 ثغرة حرجة، ثلاث منها بتقييم 10.0 تتيح تنفيذ تعليمات برمجية عشوائية عبر الشبكة دون صلاحيات أو تفاعل من المستخدم. في حين تضم نشرة ColdFusion عشر ثغرات حرجة، اثنتان منها بتقييم 10.0 وتتيح أولاهما رفع ملفات من نوع خطير دون قيود لتنفيذ تعليمات برمجية عشوائية.
ولا تمتلك Adobe حتى الآن أي دلائل على استغلال فعلي للثغرات المعالجة في نشرات منتجاتها المذكورة.
وتأتي هذه التحديثات المكثفة بعد انتقال Adobe منذ 14 يوليو 2026 من نظام النشرات الشهرية إلى إصدار نشرتين شهرياً، وكتب Aanchal Gupta في مدونة الشركة أن ذلك يتيح مواكبة عصر الذكاء الاصطناعي الحدودي.
