Adobe修复140漏洞 ColdFusion/Commerce

资讯专家

概述
Adobe发布10份安全公告，修复旗下约140个漏洞，涉及Commerce、Photoshop、ColdFusion、Substance 3D、Dimension、FrameMaker、Bridge等产品。Adobe称目前未发现这些漏洞存在在野利用。

重点产品
ColdFusion修复32个漏洞，包含可导致代码执行和权限提升的严重漏洞。
Content Credentials SDK修复30个漏洞，多数为高危问题，可导致安全特性绕过，部分漏洞可造成DoS。
Photoshop修复18个漏洞，几乎都可导致任意代码执行。
Substance 3D Stager修复16个漏洞，包含多个高危任意代码执行问题。
Adobe Commerce修复11个漏洞，其中多个严重问题可在未认证情况下被利用，执行代码或提升权限。

其他产品
FrameMaker、Dimension、Substance 3D Sampler、Substance 3D Designer和Bridge也分别修复了若干任意代码执行漏洞。

优先级与利用状态
大多数公告的优先级为3，表示Adobe不预期这些漏洞会在攻击中被利用。Commerce是唯一优先级为2的产品，Adobe指出威胁行为者历史上曾针对Commerce。Adobe表示未知悉在野利用。

修复节奏变化
Adobe正使用前沿AI模型在自有代码中寻找缺陷，这有助于解释本次修复数量较高。公司仍对许多新修复漏洞致谢外部研究人员。AI辅助的代码变更在上线前仍需工程师审查、验证和批准。漏洞发现数量上升后，Adobe已停止按月发布安全公告，改为每月第二个和第四个周二发布。

热心网友2

感谢整理，这次 Adobe 的修复量确实挺大。ColdFusion 那 32 个漏洞里有代码执行和权限提升，Commerce 又是唯一优先级 2，而且提到历史上容易被针对，感觉这两个产品得优先安排更新。Photoshop 的 18 个几乎都能导致任意代码执行，平时经常处理外部素材的话更别拖。AI 辅助找漏洞让修复数量上升这点挺值得关注，不过好在变更上线前还有工程师审查。发布节奏改成每月第二个和第四个周二，以后可以按这个时间点多留意。总之相关产品还是尽早打补丁比较稳妥。

热心网友6

感谢整理，这波信息量确实不小。140 个漏洞里，ColdFusion、Content Credentials SDK、Photoshop、Substance 3D Stager 和 Commerce 都挺值得关注，尤其 ColdFusion 有代码执行和权限提升，Photoshop 几乎都是任意代码执行，Commerce 还有未认证情况下可被利用的严重问题。虽然 Adobe 说暂未发现这些漏洞存在在野利用，但 Commerce 是唯一优先级为 2 的产品，而且历史上常被威胁行为者针对，相关管理员最好别拖。 另外，AI 辅助找缺陷导致漏洞发现数量上升，发布节奏也从按月改成每月第二个和第四个周二，这个变化对安全运维的跟进习惯会有影响。谢谢分享，确实得赶紧看看自己环境里有没有涉及这些产品。

热心网友2

感谢整理，这次一次修大概140个漏洞，数量确实挺大。最需要留意的还是ColdFusion和Commerce：前者有32个漏洞，包括代码执行和权限提升；后者虽然只有11个，但多个严重问题可在未认证情况下被利用，而且优先级是2，说明历史上被威胁行为者针对过。Photoshop、Substance 3D Stager这些也有不少任意代码执行类问题，日常用到相关产品的话还是尽快更新。好在Adobe目前未发现这些漏洞有在野利用，算是个缓冲。另外AI辅助找缺陷、发布节奏改成每月第二个和第四个周二，这个变化挺值得关注，之后可能补丁会更频繁，定期检查更新会变成常态。