Коротко: бюллетень APSB26-167 от 13 октября 2026 закрывает в Adobe Bridge 16.0.7 и Bridge (LTS) 15.1.8 четыре уязвимости. Три из них — CVE-2026-100127, CVE-2026-100128, CVE-2026-100129 — это запись за границами буфера (CWE-787) с CVSS 7.8: открытие специально сформированного файла в окне предпросмотра Bridge может привести к выполнению произвольного кода с правами пользователя. Четвёртая, CVE-2026-100126, — чтение за границами буфера (CVSS 5.5), приводящее к утечке данных из памяти процесса. Публичной эксплуатации нет, но обновить Bridge стоит сразу — приложение по умолчанию генерирует миниатюры для всех файлов в папке, даже без явного открытия.
Содержание
Что такое Adobe Bridge и почему он уязвим
Adobe Bridge — бесплатное приложение из экосистемы Creative Cloud, которое работает как файловый менеджер для медиа: показывает миниатюры и метаданные RAW-снимков, PSD-макетов, TIFF, DNG, PDF и видеофайлов, не открывая их в «тяжёлом» редакторе. Именно эта функция — автоматическая генерация превью при простом просмотре папки — делает Bridge удобной мишенью: пользователю не нужно осознанно «открывать» вредоносный файл, достаточно, чтобы он просто попал в директорию, которую Bridge сканирует для построения миниатюр.
Это не первый подобный инцидент: летом 2026 года Adobe уже закрывала в Bridge несколько уязвимостей обработки файлов в рамках бюллетеня APSB26-89. Октябрьский APSB26-167 — отдельный, более свежий набор проблем в тех же компонентах разбора файлов.
Четыре CVE бюллетеня APSB26-167
Согласно официальному бюллетеню Adobe, обновление устраняет четыре уязвимости в Adobe Bridge 16.0.7 и более ранних версиях, а также в Adobe Bridge (LTS) 15.1.8 и более ранних — на Windows и macOS:
- CVE-2026-100129 — запись за границами буфера (CWE-787), CVSS 7.8, высокий приоритет. Последствие — выполнение произвольного кода в контексте текущего пользователя.
- CVE-2026-100128 — запись за границами буфера (CWE-787), CVSS 7.8, высокий приоритет. Та же категория последствий — произвольный код.
- CVE-2026-100127 — запись за границами буфера (CWE-787), CVSS 7.8, высокий приоритет. Аналогично приводит к выполнению кода.
- CVE-2026-100126 — чтение за границами буфера (CWE-125), CVSS 5.5, средний приоритет. Последствие — раскрытие содержимого памяти приложения, без выполнения кода.
Три уязвимости записи за границами буфера объединяет одно: все они срабатывают при обработке специально повреждённого файла — именно такого, какой Bridge пытается автоматически превратить в миниатюру при открытии папки. Приоритет развёртывания у бюллетеня — 3 (стандартный), заметной эксплуатации в реальных атаках независимые обзоры Patch Tuesday, в том числе обзор Zero Day Initiative, не отмечают.
Почему именно предпросмотр файлов — риск
Для обычного текстового редактора или просмотрщика «уязвимость в парсере» звучит абстрактно. Для Bridge — конкретно: приложение массово и автоматически разбирает файлы, лишь бы показать их список. Если в папке загрузок, на сетевом диске или в архиве с присланными материалами окажется один специально повреждённый RAW- или PSD-файл, миниатюра для него начнёт строиться без дополнительного клика пользователя — ровно в момент открытия папки в Bridge.
Это общий паттерн для приложений-«менеджеров файлов с превью»: аналогичные уязвимости разбора форматов регулярно находят и в других программах для работы с изображениями — например, в GIMP и графических библиотеках типа ImageMagick. Чем больше разных форматов умеет «понимать» программа без участия пользователя, тем шире у неё поверхность атаки.
Практический риск усиливается тем, что Bridge часто подключают к общим сетевым папкам с рабочими материалами — фотобанкам, архивам дизайн-проектов, папкам приёма файлов от клиентов. Злоумышленнику достаточно подложить один повреждённый файл в такую папку.
Что сделать прямо сейчас
- Обновите Adobe Bridge через Creative Cloud Desktop. Откройте приложение Creative Cloud → вкладка «Приложения» → раздел «Обновления» и установите последнюю версию Bridge. Все четыре уязвимости APSB26-167 закрываются одним обновлением.
- Не указывайте Bridge на непроверенные папки «на автомате». Если вам прислали архив с фотографиями или макетами от незнакомого источника, сначала распакуйте его в отдельную папку и проверьте происхождение файлов, а не открывайте сразу в Bridge для массового просмотра миниатюр.
- Проверяйте реальный формат подозрительных файлов перед открытием — расширение легко подделать. Быстро сверить сигнатуру файла можно через онлайн-определитель формата или список в карте опасных расширений. Если нужно просто посмотреть содержимое PSD без риска — разберитесь, чем открыть PSD без Photoshop, в лёгких вьюерах поверхность атаки обычно меньше.