Adobe

A Adobe lançou atualizações para corrigir várias vulnerabilidades críticas em suas plataformas ColdFusion, Commerce e Campaign Classic. As falhas mais severas incluem a CVE-2026-48362 e CVE-2026-48398, ambas com pontuação CVSS de 10.0, que permitem a execução de código arbitrário. Outras vulnerabilidades, como a CVE-2026-48273 (9.9) e CVE-2026-71384 (9.6), também apresentam riscos significativos, incluindo injeções de comandos e problemas de autorização que podem resultar em negação de serviço e escalonamento de privilégios. As atualizações são classificadas como prioridade 1, indicando um alto risco de exploração por ataques cibernéticos. Embora não haja evidências de que essas falhas tenham sido exploradas ativamente, a Adobe recomenda que os administradores apliquem as correções em até 72 horas. As atualizações são aplicáveis apenas a implantações locais do Campaign Classic, enquanto as instâncias hospedadas pela Adobe já foram corrigidas. Este alerta surge logo após a divulgação de outra vulnerabilidade crítica na mesma plataforma, reforçando a necessidade de vigilância constante em relação à segurança das aplicações.

A Adobe lançou atualizações de segurança para corrigir uma falha crítica na sua plataforma de automação de marketing, Campaign Classic (ACC), que poderia permitir a execução de código arbitrário. A vulnerabilidade, identificada como CVE-2026-48449, possui uma pontuação máxima de 10.0 no sistema de pontuação CVSS, caracterizando-se como um erro de autorização que não requer interação do usuário. Além disso, uma segunda falha de alta severidade, CVE-2026-48448, relacionada a injeção SQL, também foi corrigida, podendo permitir a leitura arbitrária de arquivos. A Adobe informou que não tem conhecimento de qualquer exploração ativa dessas falhas. Ambas as vulnerabilidades foram abordadas na versão 7.4.3 do ACC para Windows e Linux. Além disso, a empresa lançou atualizações para corrigir oito falhas críticas no Adobe Bridge, que poderiam levar a elevações de privilégio e execução de código arbitrário. Os usuários são aconselhados a aplicar as atualizações mais recentes para garantir a proteção adequada.

Pesquisadores de cibersegurança revelaram uma vulnerabilidade crítica na extensão do Adobe Acrobat para Chrome, que possui mais de 314 milhões de usuários. Nomeada HermeticReader e registrada como CVE-2026-48294, a falha permite que atacantes acessem silenciosamente dados do WhatsApp de um usuário, contornando a política de mesma origem do navegador. A exploração requer interação do usuário, que deve ser convencido a visitar uma URL maliciosa. Uma vez acessada, a página controlada pelo atacante ativa um mecanismo dentro da extensão que se conecta ao WhatsApp Web, permitindo o roubo de informações como listas de chats, nomes de contatos e mensagens. O ataque é facilitado por falhas nas especificações HTML e na política de segurança de conteúdo do WhatsApp Web, que não restringe adequadamente as ações de formulário. A gravidade da vulnerabilidade, com um CVSS de 7.4, destaca a necessidade de atenção a falhas de segurança em softwares amplamente utilizados, especialmente considerando o potencial impacto na privacidade dos usuários.

A Adobe divulgou atualizações de segurança para corrigir várias vulnerabilidades críticas em seus produtos ColdFusion e Adobe Campaign Classic. As falhas, que possuem pontuação máxima no CVSS, incluem a possibilidade de execução de código arbitrário, escalonamento de privilégios e leitura não autorizada do sistema de arquivos. Entre as vulnerabilidades destacadas estão CVE-2026-48276 e CVE-2026-48283, que permitem o upload de arquivos perigosos, e CVE-2026-48282, que envolve uma vulnerabilidade de traversal de caminho. As atualizações estão disponíveis nas versões ColdFusion 2023 Update 21 e ColdFusion 2025 Update 10. Além disso, uma falha crítica no Adobe Campaign Classic, identificada como CVE-2026-48286, também foi corrigida, afetando versões anteriores ao build 9397. A Adobe informou que não encontrou exploração ativa dessas vulnerabilidades até o momento, mas ressaltou a importância de aplicar as atualizações rapidamente, especialmente com a crescente utilização de inteligência artificial para descobrir vulnerabilidades. A empresa também anunciou que passará a publicar boletins de segurança quinzenalmente a partir de julho de 2026.

A Adobe divulgou atualizações de segurança para corrigir sete vulnerabilidades de alta severidade nas plataformas ColdFusion e Campaign Classic. Essas falhas podem ser exploradas em ataques de baixa complexidade, sem necessidade de interação do usuário, e foram classificadas como prioridade 1, indicando um alto risco de exploração. As vulnerabilidades identificadas como CVE-2026-48276, CVE-2026-48277, CVE-2026-48281, CVE-2026-48316 e CVE-2026-48282 afetam versões do ColdFusion 2025.9, 2023.20 e anteriores, permitindo que atacantes não privilegiados executem código remotamente em sistemas não corrigidos. A vulnerabilidade do Campaign Classic, CVE-2026-48286, afeta versões 7.4.3 build 9396 e anteriores, podendo levar à execução de código arbitrário no contexto do usuário atual. A Adobe recomenda que administradores apliquem as atualizações o mais rápido possível, preferencialmente em até 72 horas. A empresa também anunciou que passará a publicar boletins de segurança duas vezes por mês, visando uma resposta mais ágil a vulnerabilidades ativamente exploradas.

Em abril de 2026, diversas vulnerabilidades críticas foram identificadas em produtos de grandes empresas como Adobe, Fortinet, Microsoft e SAP, destacando-se a vulnerabilidade de injeção SQL (CVE-2026-27681) nos sistemas SAP Business Planning e Consolidation, com um CVSS de 9.9. Essa falha permite que usuários com baixos privilégios executem comandos SQL arbitrários, potencialmente comprometendo dados sensíveis e causando corrupção de informações. Além disso, uma vulnerabilidade de execução remota de código no Adobe Acrobat Reader (CVE-2026-34621, CVSS 8.6) está sendo ativamente explorada, embora detalhes sobre o escopo da exploração ainda sejam incertos. A Adobe também corrigiu cinco falhas críticas no ColdFusion, que poderiam permitir execução de código arbitrário e negação de serviço. A Microsoft, por sua vez, abordou 169 falhas de segurança, incluindo uma vulnerabilidade de spoofing no SharePoint Server (CVE-2026-32201, CVSS 6.5), que pode expor informações sensíveis. Essas vulnerabilidades representam riscos significativos para as empresas, especialmente em um cenário onde a proteção de dados é crucial para a conformidade com a LGPD.

O Adobe Acrobat Reader, amplamente utilizado para visualização e compartilhamento de arquivos PDF, foi alvo de uma nova vulnerabilidade de segurança identificada como CVE-2026-34621. Essa falha, classificada como poluição de protótipo, permite a injeção de código JavaScript malicioso, possibilitando que atacantes manipulem objetos e propriedades dentro da aplicação, comprometendo assim o sistema do usuário. A vulnerabilidade foi explorada ativamente desde dezembro de 2025, antes de ser divulgada por um pesquisador de segurança da EXPMON. A Adobe já lançou atualizações de segurança para corrigir essa falha crítica, afetando versões específicas do Acrobat DC e Acrobat Reader DC. Apesar da correção, é importante que os usuários permaneçam vigilantes, especialmente em relação a arquivos PDF recebidos por e-mail, que podem conter vírus. A atualização é essencial para garantir a segurança dos dispositivos e evitar possíveis comprometimentos.

A Adobe divulgou uma atualização de segurança emergencial para o Acrobat Reader, visando corrigir uma vulnerabilidade crítica identificada como CVE-2026-34621. Essa falha, que tem sido explorada em ataques de zero-day desde dezembro, permite que arquivos PDF maliciosos contornem as restrições de sandbox e invoquem APIs JavaScript privilegiadas, o que pode resultar na execução arbitrária de código. O exploit observado permite a leitura e o roubo de arquivos locais sem necessidade de interação do usuário, além de abusar de APIs como util.readFileIntoStream() e RSS.addFeed() para exfiltração de dados. A vulnerabilidade foi descoberta por Haifei Li, fundador do sistema de detecção de exploits EXPMON, após a análise de um PDF suspeito. A Adobe inicialmente classificou a falha como crítica, mas posteriormente reavaliou sua gravidade para 8.6, considerando que o vetor de ataque é local. A atualização está disponível para várias versões do Acrobat DC e Acrobat Reader DC, e a Adobe recomenda que os usuários atualizem seus aplicativos imediatamente. Não foram listadas alternativas ou mitigação, tornando a aplicação da atualização a única ação recomendada. Os usuários devem ser cautelosos ao abrir PDFs de fontes desconhecidas e preferir ambientes isolados para tal.

A Adobe lançou atualizações de emergência para corrigir uma falha crítica de segurança no Acrobat Reader, identificada como CVE-2026-34621, que está sendo ativamente explorada. Com uma pontuação CVSS de 8.6, a vulnerabilidade permite que atacantes executem código malicioso em instalações afetadas. Descrita como um caso de poluição de protótipo, a falha afeta versões do Acrobat DC e Acrobat Reader DC anteriores à 26.001.21411, além do Acrobat 2024. A Adobe confirmou que a vulnerabilidade está sendo explorada na prática, com evidências sugerindo que isso ocorre desde dezembro de 2025. A exploração se dá através da execução de código JavaScript malicioso ao abrir documentos PDF especialmente elaborados. A empresa ajustou a classificação do vetor de ataque de rede para local, indicando que a exploração pode ocorrer em sistemas já comprometidos. Os usuários são aconselhados a atualizar seus softwares imediatamente para evitar possíveis ataques.

No Patch Tuesday de fevereiro de 2026, diversas empresas de software, incluindo Microsoft, Adobe e SAP, lançaram atualizações para corrigir vulnerabilidades de segurança em seus produtos. A Microsoft abordou 59 falhas, incluindo seis zero-days ativamente explorados que podem permitir a escalada de privilégios e negação de serviço em componentes do Windows. A Adobe, por sua vez, atualizou vários de seus softwares, mas não relatou exploração em campo. A SAP corrigiu duas vulnerabilidades críticas, uma delas relacionada a injeção de código no SAP CRM e S/4HANA, com uma pontuação CVSS de 9.9, que poderia permitir a execução de comandos SQL arbitrários. A outra falha crítica, com pontuação CVSS de 9.6, envolve a falta de verificação de autorização no SAP NetWeaver, permitindo que usuários autenticados de baixo privilégio realizem chamadas de função remota sem as permissões necessárias. Além disso, a Intel e o Google identificaram cinco vulnerabilidades no Intel Trust Domain Extensions (TDX) 1.5, destacando a complexidade crescente de componentes de software altamente privilegiados. As atualizações de segurança são essenciais para mitigar riscos e proteger dados sensíveis.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) adicionou uma falha de segurança crítica no Adobe Experience Manager (AEM) ao seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), após evidências de exploração ativa. A vulnerabilidade, identificada como CVE-2025-54253, possui uma pontuação CVSS de 10.0, indicando severidade máxima, e pode permitir a execução de código arbitrário. A falha afeta as versões 6.5.23.0 e anteriores do AEM Forms em JEE e foi corrigida na versão 6.5.0-0108, lançada em agosto de 2025. O problema decorre de um servlet exposto, que avalia expressões OGNL fornecidas pelo usuário como código Java, sem exigir autenticação ou validação de entrada. Embora não haja informações públicas sobre como a falha está sendo explorada em ataques reais, a Adobe reconheceu a existência de um proof-of-concept disponível publicamente. Em resposta à exploração ativa, as agências do Federal Civilian Executive Branch (FCEB) foram orientadas a aplicar as correções necessárias até 5 de novembro de 2025.

A Adobe emitiu um alerta sobre uma vulnerabilidade crítica, identificada como CVE-2025-54236, que afeta suas plataformas Adobe Commerce e Magento Open Source. Com uma pontuação CVSS de 9.1, a falha é classificada como um problema de validação inadequada de entrada, permitindo que atacantes possam assumir o controle de contas de clientes através da API REST do Commerce. A vulnerabilidade impacta diversas versões do Adobe Commerce e Magento, incluindo versões anteriores a 2.4.9-alpha2 e 2.4.8-p2, entre outras. Embora a Adobe não tenha conhecimento de explorações ativas, a empresa lançou um hotfix e implementou regras de firewall de aplicação web (WAF) para proteger os ambientes contra tentativas de exploração. A empresa de segurança Sansec comparou essa vulnerabilidade a outras falhas significativas na história do Magento, como o Shoplift e o CosmicSting. Além disso, a Adobe também corrigiu uma vulnerabilidade crítica no ColdFusion, que poderia permitir gravações arbitrárias no sistema de arquivos. É essencial que os comerciantes que utilizam essas plataformas tomem medidas imediatas para mitigar os riscos associados a essa vulnerabilidade.

Uma vulnerabilidade crítica, identificada como SessionReaper (CVE-2025-54236), foi descoberta no Magento, levando a Adobe a interromper seu ciclo regular de atualizações para lançar um patch de emergência. Essa falha é considerada uma das mais severas na história do Magento, comparável a incidentes anteriores como Shoplift e TrojanOrder. A vulnerabilidade permite que atacantes, com acesso autenticado, manipulem configurações administrativas e injetem códigos maliciosos através da API do Magento. A exploração dessa falha pode ocorrer rapidamente, uma vez que ferramentas automatizadas de escaneamento devem ser utilizadas para identificar instâncias não corrigidas logo após a publicação do patch. A Adobe notificou seus clientes do Commerce Cloud em 4 de setembro, mas os usuários de Magento open source só foram informados em 9 de setembro, levantando preocupações sobre a transparência na distribuição de atualizações de segurança. Para mitigar os riscos, os comerciantes devem aplicar o patch imediatamente, revisar credenciais de administrador e implementar autenticação multifatorial. O cenário destaca a necessidade urgente de vigilância e defesa em camadas para proteger as lojas Magento contra essa vulnerabilidade crítica.