Adobe закрыла 172 уязвимости: критические патчи для Commerce и Photoshop

Под раздачу попали ключевые для бизнеса продукты — Commerce, ColdFusion, Acrobat Reader, Experience Manager, Photoshop, Illustrator, Animate и даже мобильный Photoshop Mobile. Для всех, кто работает с этими инструментами каждый день, это не отвлечённая новость из мира ИБ, а прямой повод зайти в админку и проверить, всё ли обновилось.

Где горит сильнее всего

Главная точка внимания — бюллетень APSB26-146 по Adobe Commerce, выпущенный вне обычного цикла 7 сентября 2026 года. Он закрывает CVE-2026-75650 — критическую уязвимость с оценкой CVSS 10.0 в шаблонизаторе, которая, по данным Adobe, уже эксплуатируется в реальных атаках. Если вы ведёте интернет-магазин на этом стеке, обновление нужно ставить не «по расписанию», а прямо сейчас — иначе вы держите дверь нараспашку для тех, кто уже знает, как ей пользоваться.

На уровень ниже по приоритету, но всё равно в зоне риска — Campaign Classic и ColdFusion (приоритет развёртывания 1), а также Acrobat Reader, в котором за раз закрыли 32 CVE, и среди них много ошибок с возможностью удалённого выполнения кода. Experience Manager получил приоритет 2 — патчей там хватает, но горят они не так ярко, как история с Commerce.

Что проверить в первую очередь

Когда я разбираю подобные релизы, первое, на что смотрю — насколько патчи могут задеть привычные сценарии работы и не придётся ли потом откатываться. В этот раз Adobe не публиковала публичных PoC ни по одному бюллетеню, кроме Commerce, и это редкая передышка: времени на реакцию чуть больше, чем обычно. Из 172 закрытых уязвимостей 22 были присланы исследователями через саму программу ZDI — сообщество видит проблемы быстрее, чем автоматические сканеры.

Практический минимум для команды, которая живёт в экосистеме Adobe:

— проверить версии Commerce и при уязвимой сборке обновить немедленно, не дожидаясь очереди;

— поставить в ближайшие дни патчи ColdFusion и Campaign Classic;

— не откладывать обновление Acrobat Reader — это один из самых «социальных» векторов атаки через PDF-вложения;

— проверить контент-инфраструктуру на базе Experience Manager.

Если вы из тех, кто привык откладывать апдейты «до лучших времён», этот релиз как раз из тех, где промедление измеряется не часами, а реальными инцидентами.