Неконтролируемый путь поиска в Creative Cloud Desktop Application для Windows даёт возможность выполнить произвольный код с правами текущего пользователя. Приложение ищет нужные ему файлы в нескольких каталогах, и один из элементов этого списка не защищён от подмены. В итоге запускается не тот файл, который задумал вендор, а тот, который оказался в нужном месте. Затронуты сборки линейки 6.10 и более ранние на Windows.
Механика CVE-2026-104349 и условия эксплуатации
Неконтролируемый элемент пути поиска означает, что программа доверяет расположению файлов больше, чем следует. Creative Cloud Desktop при старте обращается к вспомогательным компонентам по имени, не проверяя полный путь. Если в просматриваемом каталоге оказывается подходящий по имени файл, приложение загружает его. Значит, для атаки достаточно поместить свой файл туда, куда приложение обращается в первую очередь, и дождаться его запуска.
Условия атаки ограничивают круг потенциальных жертв. Доступ нужен локальный: злоумышленник уже должен работать на той же машине, поэтому удалённо ошибку не использовать. Права администратора не требуются, хотя учётная запись понадобится, и подойдёт любая обычная. Без действия пользователя ничего не произойдёт: жертва открывает специально подготовленный файл. Adobe оценила уязвимость в 7,3 из 10 и отнесла её к уровню High.
Что именно получает атакующий, источники описывают по-разному. Уведомление Adobe говорит о повышении привилегий в контексте пользователя, а запись CVE - о выполнении произвольного кода с теми же правами. Однако противоречия здесь нет: обе формулировки означают, что чужой код работает от имени того, кто запустил приложение. Масштаб последствий ограничен правами этой учётной записи, так что при обычной учётной записи он невелик, а при расширенных правах шире.
Adobe выпустила исправление 27 октября 2026 года в уведомлении APSB26-135. Обновлённая версия - 6.11; в записи CVE как не подверженная уязвимости отмечена сборка 6.11.0.478.6, а затронутыми считаются версии до 6.10.0.252.41 включительно. Домашние пользователи получают новую сборку через механизм обновления самого Creative Cloud Desktop. В управляемых средах приложения Creative Cloud разворачивают через Admin Console, консоль администрирования Adobe. Номер исправленной сборки вендор приводит в разделе о решении уведомления, и там же есть ссылка на страницу загрузки.
Уведомление касается только Windows: другие платформы в нём не перечислены, поэтому по предварительным данным вендор относит их к не затронутым. Обновлению присвоен приоритет 3 по шкале Adobe, а уровень опасности вендор указал отдельно, и он высокий. Проверка завершена: уязвимость подтверждена в продукте, для неё выпущено исправление.
Случаев эксплуатации в реальных атаках нет. Adobe прямо сообщает, что ей неизвестны эксплойты (готовый код, использующий ошибку) для этой уязвимости. Технические подробности раскрыты 27 октября 2026 года, одновременно с выпуском исправления. За находку вендор благодарит исследователя под ником ping (everping), сведения переданы по программе выплат за найденные уязвимости. Публичное описание не равно работающему эксплойту, и о применении в атаках вендор не сообщает.
Обходных мер Adobe не предлагает: ни в уведомлении, ни в записи CVE их нет. Закрыть ошибку можно только обновлением до версии 6.11. Администраторам нужно сверить сборки Creative Cloud Desktop на рабочих станциях и заменить всё, что относится к линейке 6.10 и ниже. Централизованное развёртывание через Admin Console решает задачу для управляемых сред. Ошибка требует локального доступа и участия пользователя, поэтому срочность обновления зависит от числа машин с прежней сборкой, где работают непривилегированные сотрудники.
Ссылки
