Adobe выпустила ноябрьский пакет обновлений безопасности для Experience Manager, Adobe Connect и Content Credentials SDK. Всего вендор закрыл 48 уязвимостей. Часть ошибок в AEM и Connect получила критическую оценку: они позволяют выполнить код, повысить привилегии и обойти проверку прав. Обновления нужны владельцам собственных установок AEM 6.5 и 6.5 LTS, а также Connect версий 12.12 и более ранних.
Что стоит за ноябрьским бюллетенем
Главный риск сосредоточен в двух продуктах. В AEM четыре ошибки имеют оценку 9.9 по CVSS 3.1. В Connect сразу четыре уязвимости получили 10.0, причём для трёх из них не нужны ни учётная запись, ни действия пользователя.
Остальные записи выглядят скромнее: межсайтовый скриптинг, SQL-инъекции, обходы авторизации, ошибки проверки подписи в Content Credentials. По отдельности они реже ведут к полному захвату системы. В связке с критическими ошибками они дают атакующему несколько путей к одной цели и осложняют обнаружение.
Условия атаки
Критические ошибки в AEM работают по сети. Атакующему достаточно учётной записи с низкими привилегиями, например обычного автора контента. Участие других пользователей не требуется. CVE-2026-114371 и CVE-2026-119017 описывают некорректную авторизацию (CWE-863). CVE-2026-113580 и CVE-2026-113579 - инъекцию кода (CWE-94). Все четыре ведут к выполнению произвольного кода в контексте текущего пользователя. В записях отмечена смена области воздействия (scope changed): последствия выходят за пределы уязвимого компонента.
У CVE-2026-119017 в бюллетене указана только ветка 6.5. Это важно для тех, кто держит старую версию и считает, что облачная сборка закрывает все риски сама по себе.
В Connect картина хуже. CVE-2026-121351 (обход каталога, CWE-22), CVE-2026-121889 (SSRF, CWE-918), CVE-2026-121352 (некорректная авторизация, CWE-863) и CVE-2026-121353 (CRLF-инъекция, CWE-93) получили 10.0. Привилегии не требуются, участие пользователя тоже. Достаточно сетевого доступа к серверу.
Обход каталога даёт чтение файлов вне разрешённой директории. SSRF позволяет отправлять запросы от имени сервера во внутреннюю сеть. CRLF-инъекция открывает путь к подмене заголовков, перехвату сессии и выполнению кода.
Ещё восемь ошибок в Connect имеют 9.9: CVE-2026-121354 и CVE-2026-121906 (обход каталога), CVE-2026-121887 (XXE, CWE-611), CVE-2026-121892 (инъекция кода), CVE-2026-121894, CVE-2026-121896, CVE-2026-121898 и CVE-2026-121908 (SQL-инъекции). Здесь нужны низкие привилегии. CVE-2026-121902 - SQL-инъекция с 9.4, для неё привилегии не нужны. CVE-2026-121349 (9.6) и CVE-2026-121355 (9.1) дают повышение привилегий.
XSS в Connect тоже заслуживает внимания. CVE-2026-121904 (9.6, stored) и CVE-2026-122102 (8.7) позволяют внедрить скрипт в форму, который сработает у другого пользователя. CVE-2026-121910 и CVE-2026-121912 имеют 5.4 и требуют перехода по ссылке.
В AEM, помимо критических ошибок, закрыта большая группа XSS с оценкой 5.4. Это CVE-2026-114372, CVE-2026-118478 и CVE-2026-123259 (stored), CVE-2026-118197, CVE-2026-118481, CVE-2026-118480, CVE-2026-118479 и CVE-2026-123258 (DOM-based), а также CVE-2026-123341 (reflected). Все они требуют участия пользователя. Опасность в том, что скрипт выполняется в браузере сотрудника с правами на редактирование контента.
Отдельный блок - Content Credentials. Здесь нет сетевых ошибок с максимальным баллом, но есть цепочка проблем проверки подписи и валидации. CVE-2026-123262, CVE-2026-123261 и CVE-2026-122100 описывают некорректную проверку криптографической подписи (CWE-347). CVE-2026-113572 - использование рискованного криптоалгоритма (CWE-327). CVE-2026-122098 - некорректную проверку сертификата (CWE-295). Все они ведут к обходу защитной функции и несанкционированной записи в метаданные. Это подрывает доверие к манифестам происхождения контента.
К этому добавляются ошибки валидации входных данных: CVE-2026-118484, CVE-2026-113573, CVE-2026-123260 и CVE-2026-122101 (CWE-20). Отказ в обслуживании дают CVE-2026-122097 и CVE-2026-113574 (CWE-400). Обход каталога отмечен в CVE-2026-123267, некорректная авторизация - в CVE-2026-122099.
Что исправляет патч
Обновления AEM добавляют проверку прав при обращении к внутренним функциям. Они закрывают инъекцию кода в компонентах, которые формируют исполняемое содержимое. Для XSS-ошибок вендор правит экранирование в полях форм и обработку данных на стороне браузера.
В Connect патчи нормализуют пути и запрещают выход за пределы разрешённых каталогов. Они ограничивают исходящие запросы сервера, закрывая SSRF. Отдельно исправлена обработка символов перевода строки в заголовках. SQL-запросы переводят на параметризацию, а XML-парсеры получают запрет на внешние сущности. Часть исправлений касается проверки прав доступа к ресурсам встреч и записям.
В Content Credentials исправлена проверка подписи, цепочки сертификатов и выбор криптографических алгоритмов. Патч также ограничивает потребление ресурсов при разборе манифестов и проверяет входные данные перед записью.
Затронутые версии
AEM Cloud Service обновляют до сборки 2026.10.29251. Для AEM 6.5 актуален уровень 6.5.25 и ниже: вендор выпустил кумулятивный hotfix с идентификатором GRANITE-75398. Для AEM 6.5 LTS затронуты версии до SP3 включительно, исправление то же.
Отдельные записи выходят за общую схему. CVE-2026-123341 закрыт в AEM Cloud Service сборкой 2026.10.28871. CVE-2026-118481, CVE-2026-118480 и CVE-2026-118479 исправлены в Forms Hotfix 1.0.12 для AEM 6.5 QuickStart.
Connect нужно обновить до 12.12.a, 12.11.i, 12.10.f, 12.9.a или 12.8.a в зависимости от ветки. Уязвимы все версии 12.12 и более ранние.
Content Credentials Rust SDK обновляют до c2pa-v0.91.11. Утилита C2PA Tool требует версии c2patool-v0.28.6. Затронуты c2pa-v0.91.10 и ниже, а также c2patool-v0.28.5 и ниже.
Если обновиться нельзя
Начните с инвентаризации. Проверьте, какие сборки AEM и Connect работают в контуре и какие из них доступны из интернета. Интерфейсы author и admin в AEM не должны быть опубликованы наружу. Если внешний доступ нужен, ограничьте его списком адресов и включите многофакторную аутентификацию для всех, кто может редактировать контент.
Для Connect закройте внешний доступ, если сервер не предназначен для внешних участников. Проверьте учётные записи с правами администратора и включите журналирование входов. Правила WAF помогут против обхода каталога, XXE и SQL-инъекций, но не заменяют патч.
Настройте поиск аномалий в логах обратного прокси и веб-сервера. Признаки обхода каталога - последовательности с точками и косыми чертами в параметрах. Признаки XXE - XML-документы с объявлением внешних сущностей. Для Content Credentials обновите SDK и проверяйте манифесты только доверенным инструментом, иначе подпись перестаёт что-либо подтверждать.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-114371
- https://www.cve.org/CVERecord?id=CVE-2026-113580
- https://www.cve.org/CVERecord?id=CVE-2026-113579
- https://www.cve.org/CVERecord?id=CVE-2026-119017
- https://www.cve.org/CVERecord?id=CVE-2026-121351
- https://www.cve.org/CVERecord?id=CVE-2026-121889
- https://www.cve.org/CVERecord?id=CVE-2026-121352
- https://www.cve.org/CVERecord?id=CVE-2026-121353
- https://www.cve.org/CVERecord?id=CVE-2026-121354
- https://www.adobe.com/trust/security/products/experience-manager/apsb26-189
