Adobe закрыла 40 уязвимостей в After Effects, Premiere Pro, Media Encoder и Audition

Adobe выпустила ноябрьские обновления безопасности для After Effects, Premiere Pro, Media Encoder и Audition. Всего закрыто 40 уязвимостей. Значительная часть из них позволяет выполнить произвольный код на машине пользователя при открытии специально подготовленного файла. Исправления вышли в ветках 27.0 и 26.5.3.

Что известно об обновлении

Большинство закрытых ошибок относится к работе с памятью и к проверке входных данных при разборе файлов проектов, пресетов и медиаданных. Это ожидаемо: монтажные приложения постоянно разбирают чужие файлы множества форматов, и каждый парсер - потенциальная точка отказа.

Распределение по продуктам неровное. В After Effects закрыто 17 уязвимостей, в Audition - 11, в Premiere Pro и Media Encoder - по шесть. Ниже разобрано, где именно ошибки, при каких условиях они срабатывают и что делать, если обновление пока невозможно.

Где именно ошибки

Основная масса ошибок в After Effects и Premiere Pro - записи за границы буфера, CWE-787. Такая ошибка означает, что приложение записывает данные за пределы выделенного участка памяти. Если размер или структура данных в файле не совпадают с ожидаемыми, программа портит соседнюю память. В худшем случае это даёт контроль над потоком выполнения.

Есть и более специфичные классы. CVE-2026-113512 в After Effects - переполнение буфера в стеке (CWE-121). CVE-2026-123263 - переполнение в куче (CWE-122). CVE-2026-113534 - некорректная проверка входных данных (CWE-20). CVE-2026-113532 - обход каталога (CWE-22), то есть выход за пределы разрешённой папки при обращении к файлу и чтение посторонних данных.

В Audition набор другой. Здесь заметны нарушения принципов безопасного проектирования (CWE-657) и некорректная проверка ввода (CWE-20): CVE-2026-113551, CVE-2026-113563, CVE-2026-113558, CVE-2026-113557. Плюс ошибки авторизации CWE-863 в CVE-2026-113560 и в Media Encoder - CVE-2026-82002.

У части записей в оценке стоит пометка о смене области воздействия (scope changed). На практике это значит, что последствия эксплойта выходят за пределы самого уязвимого компонента: код или данные затрагивают смежные процессы и ресурсы, а не только парсер конкретного формата.

Условия атаки

Почти все перечисленные уязвимости эксплуатируются локально и требуют действия пользователя: жертва должна открыть подготовленный файл. В записях CVE вектор атаки указан как локальный, привилегии не нужны, участие пользователя требуется.

Это типичная картина для инструментов монтажа. Файл проекта, пресет, шрифт, аудиодорожка или видео приходят по почте, из мессенджера, с файлообменника или из общего проекта. Дальше достаточно открыть его в привычной программе - отдельного запуска чего-либо не нужно.

Отдельно стоит CVE-2026-113551 в Audition. Это повышение привилегий с оценкой 8.7. Атакующему нужны низкие привилегии на машине, но участие пользователя не требуется. Для рабочих станций, где за одним компьютером работают несколько человек, и для ферм рендеринга такой сценарий важнее, чем падение приложения при открытии файла: локальный пользователь может поднять свои права до уровня другого пользователя или системного контекста.

CVE-2026-82002 в Media Encoder (7.7), CVE-2026-113560 и CVE-2026-113562 в Audition (7.7) помечены как зависящие от условий вне контроля атакующего. Сложность эксплуатации высокая, устойчивого эксплойта ждать дольше. Но откладывать установку исправлений из-за этого не стоит.

Что получает атакующий

Последствия делятся на три группы.

Первая - выполнение произвольного кода в контексте текущего пользователя. Сюда относятся оценки 8.6 и 7.8. Код получает те же права, что и сам редактор: доступ к проектам, к сетевым дискам, к сохранённым токенам других приложений, если те лежат в доступных каталогах.

Вторая - чтение файлов за пределами ожидаемого каталога и утечка содержимого памяти. Обход каталога в CVE-2026-113532 позволяет добраться до чувствительных файлов. Чтение за границами буфера в CVE-2026-113519 и CVE-2026-113514 (5.5) раскрывает фрагменты памяти процесса, где могут оказаться пути, имена пользователей и другие служебные данные.

Третья - отказ в обслуживании. Нулевые указатели в CVE-2026-113521, CVE-2026-113577, CVE-2026-113539, CVE-2026-113549 и чтение за границами в CVE-2026-110093 (3.3) приводят к падению приложения. Само по себе это не критично, но несохранённый проект в момент сдачи материала - вполне реальная потеря.

Затронутые версии

After Effects: уязвимы версии 26.5 и более ранние; обновление до 27.0 или 26.5.3.

Premiere Pro: уязвимы 26.5.2 и более ранние, а также 25.6.6 и более ранние; обновление до 27.0 или 26.5.3.

Media Encoder: та же картина - 26.5.2 и более ранние, 25.6.6 и более ранние; обновление до 27.0 или 26.5.3.

Audition: уязвимы 26.5 и более ранние, 25.6.6 и более ранние; обновление до 27.0 или 26.5.3.

Важно, что затронуты и старые ветки. Если версию заморозили ради совместимости с плагинами или с чужой системой рендеринга, обновиться внутри ветки всё равно нужно.

Если обновиться нельзя

Обходных мер Adobe не приводит. Практические варианты такие.

Ограничьте источники файлов. Проекты, пресеты и медиа из внешних источников открывайте только после проверки в изолированной среде. Подойдёт виртуальная машина без доступа к корпоративной сети и без рабочих учётных данных.

Уберите лишние права. Не запускайте монтажные приложения от администратора. Разделяйте учётные записи для повседневной работы и для администрирования.

Ограничьте сетевой доступ редакторов. Если приложение не должно обращаться к файловым шарам и в интернет, запретите это на уровне хоста.

Проверьте цепочку поставки проектов. Если монтаж ведут подрядчики, добавьте в договор требование передавать исходники в согласованном формате и проверять их на стороне отправителя.

Ведите учёт версий. Простой инвентарь установленных сборок по отделам показывает, кто остался на уязвимой ветке, а кто уже обновился.