Компания Adobe выпустила внеочередное обновление безопасности для программы After Effects. Оно закрывает сразу четыре опасные уязвимости, которые позволяют злоумышленнику захватить полный контроль над компьютером. Под угрозой - все пользователи версий 26.0, 25.6.4 и более ранних, включая профессиональные студии, монтажеров и моушн-дизайнеров.
Детали уязвимостей
Проблемы были обнаружены в механизме обработки файлов. Все они относятся к классу ошибок при работе с памятью. В частности, обнаружено переполнение буфера в стеке - так называют situation, когда данные записываются за пределы выделенного участка в стеке вызовов. Аналогичная ошибка, но относящаяся уже к динамически распределяемой памяти, называется переполнением буфера в куче. Ещё одна уязвимость связана с записью за границы буфера: программа пишет данные туда, куда не должна. И наконец, найдено целочисленное переполнение - ошибка, при которой результат арифметической операции превышает допустимый диапазон, и это приводит к повреждению памяти. Все четыре типа атак могут быть использованы для выполнения произвольного кода.
Каждая уязвимость получила идентификатор CVE (международный реестр общеизвестных уязвимостей). Вот их номера: CVE-2026-34690, CVE-2026-34642, CVE-2026-34643 и CVE-2026-34644. Оценка по шкале CVSS (общая система оценки уязвимостей) одинакова для всех - 7,8 балла из 10. Это считается высоким уровнем опасности. Чтобы воспользоваться проблемой, атакующему необходимо обманом заставить жертву открыть специально созданный файл. Например, такой файл может прийти по электронной почте или быть скачан с файлообменника под видом рабочего проекта.
Как только пользователь откроет вредоносный файл, злоумышленник получает возможность выполнить свой код в контексте текущей учётной записи. Если эта учётная запись обладает административными правами, то атакующий захватывает всю систему. Он может установить программы-шпионы, похитить конфиденциальные данные, зашифровать файлы или использовать компьютер как точку для новых атак внутри корпоративной сети.
Для студий, работающих с коммерческими клипами и фильмами, такой сценарий особенно опасен. Утечка проектов может привести к серьёзным финансовым потерям и репутационному ущербу. Кроме того, в специализированных мастерских часто используют After Effects на машинах, подключённых к общему хранилищу данных: захват одной рабочей станции способен открыть доступ ко всем файлам организации.
Тем не менее не стоит паниковать. Adobe оперативно отреагировала на обнаруженные недостатки. Разработчики выпустили исправленные версии программы - 25.6.5 для линейки 25.x и 26.2 для линейки 26.x. Обновление доступно через официальный сайт компании, а также через встроенный механизм обновлений в Creative Cloud.
Примечательно, что все четыре уязвимости были обнаружены до того, как злоумышленники успели их активно использовать. Но это не повод откладывать установку патча. В прошлом аналогичные ошибки в продуктах Adobe неоднократно становились векторами атак, в том числе с использованием программ-вымогателей. Поэтому специалистам по информационной безопасности следует действовать незамедлительно.
Прежде всего необходимо провести инвентаризацию всех установленных копий After Effects в компании. Если какая-то из версий попадает под уязвимый диапазон, её нужно обновить в первую очередь. В больших парках проще развернуть патч централизованно - через консоль управления Creative Cloud или с помощью групповых политик. Параллельно полезно напомнить сотрудникам о правилах кибергигиены: не открывать подозрительные вложения, даже если они выглядят как файлы проектов от коллег.
С технической точки зрения обновление не требует сложных действий. Установка исправленной версии не затронет пользовательские настройки и библиотеки. Перезагрузка системы после установки не требуется, что ускоряет процесс развёртывания. Тем не менее перед обновлением стоит убедиться, что на компьютерах установлены все последние версии операционных систем и антивирусных программ: комплексная защита всегда эффективнее точечного латания дыр.
Особое внимание стоит уделить версии After Effects через Creative Cloud. Дело в том, что установщик Creative Cloud сам обновляет приложения, но по умолчанию делает это с задержкой. Поэтому лучше вручную запустить проверку обновлений или сразу загрузить инсталлятор с сайта Adobe. Пользователи, работающие в изолированных сетях без доступа в интернет, могут получить файлы исправлений через корпоративный канал распространения.
Подводя итог, отметим: закрытые уязвимости дают злоумышленнику очень высокий уровень доступа, но требуют от него хотя бы одного неосторожного действия жертвы. Именно человеческий фактор остаётся самым слабым звеном. Поэтому, помимо технических мер, важно повышать осведомлённость сотрудников о фишинговых атаках и опасности открытия файлов из непроверенных источников. Лишь сочетание грамотного управления обновлениями, строгих политик безопасности и регулярного обучения пользователей поможет предотвратить возможные инциденты.
Ссылки
