Adobe Connect: XXE и обход каталога CVE-2026-121887 и CVE-2026-121354, CVSS 9.9

В Банке данных угроз безопасности информации появились две записи по Adobe Connect из бюллетеня APSB26-191: BDU:2026-18882 описывает XXE-уязвимость CVE-2026-121887, BDU:2026-18889 - обход каталога CVE-2026-121354. Обе получили оценку CVSS 3.1 - 9.9, обе требуют учётной записи с низкими правами и не требуют участия пользователя. По одной из записей источники расходятся: БДУ и карточка Adobe говорят о выполнении кода, описание CVE и сводка Adobe - о произвольном чтении файлов. Затронуты Adobe Connect 12.12 и более старые версии на Windows, исправления вышли в 12.12.a, 12.11.i, 12.10.f, 12.9.a и 12.8.a.

Что нашли

Adobe Connect - платформа для вебинаров, онлайн-обучения и конференций. Организации часто ставят её на собственные серверы Windows, а доступ к ней открывают участникам из интернета: иначе вебинары и удалённые встречи не работают. В такой системе есть учётные записи организаторов, докладчиков и слушателей, а сама платформа обрабатывает загружаемые файлы, презентации и XML-данные.

Бюллетень APSB26-191 вышел 10 ноября 2026 года и объединяет больше двух десятков уязвимостей. Две из них Банк данных угроз оформил отдельными записями.

BDU:2026-18882 и CVE-2026-121887 - это неверное ограничение XML-ссылок на внешние объекты, класс CWE-611, он же XXE. Когда приложение разбирает XML и разрешает внешние сущности, атакующий может подставить ссылку на файл или сетевой ресурс, и обработчик обратится к нему от имени сервера. В описании Adobe указано, что эксплуатация приводит к выполнению произвольного кода в контексте текущего пользователя. Атакующему достаточно учётной записи с низкими правами, взаимодействие пользователя не требуется, область действия меняется.

BDU:2026-18889 и CVE-2026-121354 - неверное ограничение имени пути к каталогу с ограниченным доступом, класс CWE-22, обход каталога. По описанию БДУ и карточке Adobe, эксплуатация может привести к выполнению кода. При этом описание CVE и сводка Adobe указывают на произвольное чтение файловой системы, то есть источники расходятся. Условия те же: сетевой доступ, низкие привилегии, без участия пользователя, область действия меняется.

Обе записи в БДУ получили оценки CVSS 2.0 - 9.0 и CVSS 3.1 - 9.9. Вектор CVSS 3.1 одинаковый: AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Это сетевой вектор, низкая сложность, нужна учётная запись с низкими правами, участие пользователя не нужно, область действия меняется, влияние на конфиденциальность, целостность и доступность высокое.

Уязвимости из этого бюллетеня мы частично разбирали раньше: в предыдущем материале речь шла о десяти других записях APSB26-191. Новые две записи - не повтор того разбора, а дополнение: у них другие CVE, другие классы ошибок и другие векторы атаки.

Чем это грозит

XXE в веб-приложении - это не только чтение файлов. Если парсер разрешает внешние сущности, через них можно обращаться к внутренним сетевым ресурсам, подставлять данные в ответы и в некоторых конфигурациях добираться до выполнения кода. В случае Adobe Connect последствие описано как выполнение кода в контексте пользователя, под которым работает обработчик. Для сервера вебинаров это означает риск компрометации самой платформы и данных её пользователей.

Обход каталога выглядит менее громко, но для корпоративной системы конференций тоже опасен. Он позволяет выйти за пределы каталога приложения. БДУ и карточка Adobe говорят о выполнении кода, описание CVE и сводка Adobe - о произвольном чтении файлов; источники расходятся. Такие обращения часто остаются незамеченными, потому что приложение продолжает работать штатно.

Обе ошибки требуют учётной записи, но в Adobe Connect учётные записи участников часто выдаются массово: слушатели вебинаров, подрядчики, внешние преподаватели. Поэтому «нужен аккаунт» не стоит воспринимать как серьёзный барьер.

Условия эксплуатации

Нужен сетевой доступ к серверу Adobe Connect и действующая учётная запись с низкими правами. Для XXE - путь обработки XML-данных, который принимает ввод от пользователя. Для обхода каталога - запрос, в котором приложение строит путь к файлу на основе пользовательских данных. Взаимодействие пользователя не требуется, а область действия меняется, поэтому последствия не ограничиваются одним компонентом.

Вендор не раскрывает конкретные запросы и параметры, поэтому точный сценарий эксплуатации по открытым данным не восстановить. В бюллетене Adobe также отмечает, что не знает о случаях эксплуатации этих уязвимостей в реальных атаках. Это не отменяет обновления: оценки 9.9 и низкие требования к атакующему делают ошибки привлекательными для автоматизированного поиска.

Затронутые версии

Уязвимы Adobe Connect 12.12 и более старые версии на Windows, включая ветки 12.11 до 12.11.i, 12.10 до 12.10.f, 12.9 и версии до 12.8.a. Исправления вышли 10 ноября 2026 года в сборках 12.12.a, 12.11.i, 12.10.f, 12.9.a и 12.8.a: у каждой ветки своя исправленная сборка, поэтому обновляться нужно в пределах своей линии.

Если Adobe Connect обслуживается облачным сервисом Adobe, обновление на стороне вендора применяется без действий клиента. Для собственной установки на Windows проверять версию и ставить исправление нужно самостоятельно, а также убедиться, что обновились все узлы, включая тестовые и резервные.

Что делать

Обновить Adobe Connect до исправленной сборки своей ветки: 12.12.a, 12.11.i, 12.10.f, 12.9.a или 12.8.a. Перед обновлением стоит сделать резервную копию конфигурации и проверить совместимость с используемыми интеграциями, а после - убедиться, что вебинары, записи и вход участников работают.

Пока обновление не установлено, ограничьте доступ к серверу доверенными сетями и проверьте, какие учётные записи участников активны. Лишние и старые учётные записи лучше отключить: для обеих уязвимостей нужен именно действующий низкопривилегированный аккаунт. Если сервер смотрит в интернет, стоит проверить журналы на необычные XML-запросы и попытки обращения к путям с переходами вверх по каталогу.

После обновления полезно просмотреть журналы веб-сервера и приложения за период до патча: ошибки разбора XML, запросы с последовательностями обхода каталога и обращения к файлам вне каталога приложения могут указывать на попытки эксплуатации. Если есть подозрение на компрометацию, стоит сменить учётные данные администраторов и проверить целостность файлов платформы.

Что нашли

Чем это грозит

Условия эксплуатации

Затронутые версии

Что делать

Ссылки