Adobe выпустила ноябрьское обновление безопасности: в Photoshop исправлено 13 уязвимостей, в Dimension одна. Пять ошибок в Photoshop и ошибка в Dimension позволяют выполнить произвольный код с правами текущего пользователя. Патчи вышли в бюллетене APSB26-181 от 10 ноября 2026 года.
Что исправляет патч
Тринадцать записей CVE в Photoshop делятся на две неравные группы. Пять ошибок получили оценку 7.8 по CVSS 3.1: это CVE-2026-113575 и CVE-2026-116480 (переполнение буфера в куче, CWE-122), CVE-2026-117547 и CVE-2026-116003 (запись за границы буфера, CWE-787), CVE-2026-117546 (использование после освобождения, CWE-416). Все пять ведут к исполнению кода.
Остальные восемь ошибок оценены в 5.5 и не дают контроля над процессом. Три из них, CVE-2026-115345, CVE-2026-118200 и CVE-2026-118199, относятся к чтению за границами буфера (CWE-125). Такая ошибка позволяет вытащить содержимое соседних участков памяти процесса, где могут оказаться фрагменты других документов, пути к файлам и служебные данные.
Ещё три записи описывают разыменование нулевого указателя (CWE-476): CVE-2026-113571, CVE-2026-113569 и CVE-2026-118198. К ним примыкают неконтролируемая рекурсия CVE-2026-113578 (CWE-674) и деление на ноль CVE-2026-114373 (CWE-369). Все эти классы ошибок в худшем случае роняют приложение, то есть дают отказ в обслуживании.
Техническая суть высоких оценок проста. Photoshop разбирает содержимое открытого файла и на определённых структурах выходит за границы выделенного буфера или обращается к уже освобождённой памяти. Запись за границы позволяет подменить управляющие данные в памяти и передать исполнение на код атакующего. Переполнение в куче работает похожим образом, только портится динамически выделенный блок, и это даёт больше контроля над последующим размещением объектов.
Условия атаки
Все 13 ошибок Photoshop имеют локальный вектор. Сложность низкая, привилегии не требуются, но нужно участие пользователя: он должен открыть специально сформированный файл. Сетевого вектора нет, поэтому удалённо, без действий жертвы, эти уязвимости не срабатывают.
Канал доставки при этом обычный: почта, мессенджеры, файлообменники, макет от «нового заказчика», архив из тендера. Для дизайнерских и медийных команд такой сценарий привычен, потому что рабочий процесс построен на обмене исходниками между людьми и подрядчиками.
Успешная эксплуатация пятёрки высокого риска даёт код в контексте текущего пользователя. Это его файлы, сохранённые учётные данные приложений, сетевые ресурсы, к которым открыт доступ с машины. Повышение прав до системных в описании нет. Но и пользовательских прав хватает: на рабочих станциях дизайнеров часто смонтированы общие хранилища, есть доступ к лицензионным серверам и к промежуточным сборкам.
Отдельно стоит учитывать, что Adobe не приводит сведений об эксплуатации этих ошибок в реальных атаках.
Dimension: низкие привилегии и смена области
Уязвимость CVE-2026-118483 в Dimension оценена в 8.2, это самый высокий балл в бюллетене. Класс ошибки - некорректная проверка входных данных (CWE-20). Приложение доверяет структуре открытого файла и использует поля из него как управляющие значения, не проверяя их согласованность.
В описании указаны две детали, которые поднимают оценку выше, чем у ошибок Photoshop. Во-первых, эксплуатация требует низких привилегий: атакующему достаточно учётной записи с ограниченными правами. Во-вторых, зафиксирована смена области (scope changed), то есть влияние выходит за пределы уязвимого компонента и может затрагивать другие части системы. Участие пользователя по-прежнему необходимо: жертва открывает вредоносный файл.
Затронутые версии
Для Photoshop 2026 уязвимы версии 27.11 и более ранние, исправление вышло в 27.11.1. Для ветки Photoshop 2025 уязвимы 26.11.8 и более ранние, но обновления для неё уже не будет: поддержка прекращена. Перейти можно на Photoshop 2027 версии 28.0 или на актуальную ветку 2026 с 27.11.1.
В Dimension уязвимы версии 4.1.9 и более ранние на macOS, исправление - 4.1.10.
Практический момент: обновления распространяются через Creative Cloud, поэтому мало поставить патч на одну машину. Стоит сверить версии на всех рабочих местах, включая тестовые ноутбуки, машины подрядчиков и станции, которые выпали из инвентаризации. Ветку 2025 нужно не патчить, а выводить из работы.
Если обновиться нельзя
Когда обновление откладывается по организационным причинам, риск снижают организационно. В первую очередь ограничивают открытие файлов из недоверенных источников и проверяют вложения на почтовом шлюзе.
Макеты от новых контрагентов разумно вскрывать в изолированной среде: на виртуальной машине, в отдельном профиле или на выделенной станции без доступа к общим хранилищам. Это не устраняет ошибку в разборе файлов, но лишает эксплуатацию смысла: после срабатывания код остаётся в песочнице.
Далее сокращают последствия. Не стоит работать под административной учётной записью, а сетевой доступ со станции к общим ресурсам лучше ограничить до необходимого минимума. Компенсирующие меры такого рода уменьшают ущерб, но не заменяют патч: сам разбор файлов остаётся уязвимым до установки 27.11.1 и 4.1.10.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-118483
- https://www.cve.org/CVERecord?id=CVE-2026-113575
- https://www.cve.org/CVERecord?id=CVE-2026-117547
- https://www.cve.org/CVERecord?id=CVE-2026-117546
- https://www.cve.org/CVERecord?id=CVE-2026-116480
- https://www.cve.org/CVERecord?id=CVE-2026-116003
- https://www.adobe.com/trust/security/products/photoshop/apsb26-181
