Adobe Connect содержит уязвимость внедрения кода, из-за которой атакующий может выполнить собственный код на компьютере или телефоне пользователя. Для этого достаточно, чтобы пользователь перешёл по специально сформированной ссылке или открыл скомпрометированную веб-страницу. Затронуты настольное приложение Adobe Connect Desktop для Windows и macOS, а также мобильное приложение Adobe Connect Mobile для Android.
Внедрение кода CVE-2026-48360 и затронутые версии Adobe Connect
Проблема относится к категории неправильного контроля генерации кода, иначе говоря - к внедрению кода. Смысл в том, что приложение принимает внешние данные и исполняет их как команды, не отделяя одно от другого. Adobe относит уязвимость к критическому уровню и оценивает в 9.6 из 10 по CVSS 3.1 (Common Vulnerability Scoring System, общая система оценки уязвимостей). Сведения собраны в бюллетене APSB26-182.
Атака идёт по сети, сложность низкая, учётные данные не требуются. Однако участие пользователя обязательно: жертва должна перейти по ссылке или провзаимодействовать со скомпрометированной страницей. В результате атакующий выполняет свой код с правами текущего пользователя, то есть получает те же возможности, что и сам пользователь.
В описании отмечено изменение области действия. Этот признак означает, что последствия уязвимости выходят за пределы самого приложения и затрагивают смежные компоненты. По всем трём критериям - конфиденциальности, целостности и доступности - Adobe ставит высокую степень ущерба. Значит, успешная атака может привести к утечке данных, изменению информации и нарушению работы приложения.
Сведений об эксплуатации в реальных атаках нет: Adobe не знает о таких случаях. Технические детали раскрыты 27 октября 2026 года. Публикация деталей означает доступность сведений об уязвимости, а не её использование в атаках. Запись CVE обновлена 28 октября 2026 года, через день после публикации.
Исправление вышло 27 октября 2026 года с приоритетом 2. Уязвимы сборки Adobe Connect Desktop для Windows до 2026.8.51 включительно, для Mac Silicon - до 2026.08.45, для Mac Intel - до 2026.01.39. Мобильное приложение Adobe Connect Mobile уязвимо в версии 4.4 и более ранних. В бюллетене перечислены и уязвимые, и исправленные сборки для каждой платформы.
Актуальные версии: 2026.9.61 для Windows, 2026.10.66 для Mac Silicon и 2026.10.170 для Mac Intel. Для Android исправленная версия - Adobe Connect Mobile 4.5. Дистрибутивы опубликованы в Download Center, перечень изменений - в примечаниях к выпуску для Windows и macOS. Поскольку платформ несколько, обновлять нужно каждый клиент отдельно.
Обходных мер Adobe не приводит. Закрыть уязвимость можно только установкой исправленной сборки. Настройки, ограничивающие эксплуатацию, в бюллетене не описаны.
Для администратора практический шаг один: сверить версии клиентов на рабочих местах и в парке мобильных устройств. Настольные сборки нумеруются по-разному для Windows и двух вариантов macOS - Apple Silicon и Intel, поэтому инвентаризация может показать разные значения. Мобильное приложение обновляется до 4.5.
Уязвимость обнаружил исследователь под псевдонимом a_l. Adobe благодарит его за сообщение о проблеме и совместную работу.
Уязвимость требует от атакующего минимум условий: сетевой доступ и одно действие пользователя. Выполнение кода даёт контроль над приложением в рамках прав жертвы. Обновление до исправленных сборок закрывает проблему, других мер вендор не называет.
Ссылки
