Il 28 ottobre 2026 il CSIRT Italia, il centro nazionale che fa capo all’Agenzia per la cybersicurezza nazionale, ha pubblicato l’alert AL02/261028/CSIRT-ITA. Riguarda gli aggiornamenti di sicurezza rilasciati da Adobe per risolvere 12 vulnerabilità in cinque prodotti. Secondo l’alert, 9 hanno gravità «critica» e 2 gravità «alta». L’impatto sistemico, cioè la stima dell’effetto complessivo della segnalazione, è indicato come «alto» (66.66).
Chi è coinvolto
I prodotti interessati sono questi, nelle versioni precedenti a quelle indicate:
- Substance 3D Painter, versioni precedenti alla 12.2;
- Connect Desktop per Windows, versioni precedenti alla 2026.9.61;
- Connect Desktop per Mac Silicon, versioni precedenti alla v2026.10.66;
- Connect Desktop per Mac Intel, versioni precedenti alla v2026.10.170;
- Connect Mobile, versioni precedenti alla 4.5;
- Campaign Classic v7, versioni precedenti alla 7.4.4 build 9403;
- Creative Cloud Desktop Application, versioni precedenti alla 6.11.
L’alert elenca le sole CVE (gli identificativi pubblici con cui le vulnerabilità vengono catalogate) di gravità critica e alta. Sono 11, da CVE-2026-48379 a CVE-2026-104349. Nella tabella dell’alert le colonne dedicate alla disponibilità di codice dimostrativo e allo sfruttamento effettivo delle falle non riportano alcuna indicazione.
Che rischio c’è
Le vulnerabilità appartengono a tre tipologie. La prima è l’esecuzione di codice arbitrario: un malintenzionato potrebbe far eseguire al computer dei comandi scelti da lui. La seconda è l’aggiramento di una funzione di sicurezza, cioè la possibilità di superare un controllo pensato per proteggere il sistema. La terza è l’escalation di privilegi, che permette a chi ha già un accesso limitato di ottenere permessi più ampi di quelli previsti.
Una gravità «critica» indica, nella scala usata per classificare le falle, il livello più alto di pericolosità. L’alert non descrive scenari di attacco specifici e non indica che le falle siano già state usate contro qualcuno. Il rischio riguarda quindi chi continua a usare versioni non aggiornate dei prodotti elencati, che restano esposte a problemi ormai noti e documentati.
Cosa fare
In linea con le dichiarazioni di Adobe, il CSIRT Italia raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni dei bollettini di sicurezza del produttore. I bollettini indicati nell’alert sono quattro: APSB26-178 per Substance 3D Painter, APSB26-182 per Connect, APSB26-162 per Campaign Classic e APSB26-135 per Creative Cloud.
Due verifiche pratiche possono aiutare:
- controllare che gli aggiornamenti automatici dei programmi Adobe siano attivi e che la versione installata sia pari o successiva a quelle indicate;
- nelle aziende, avvisare il fornitore o il reparto IT che gestisce i computer, in modo che l’aggiornamento riguardi anche le postazioni non gestite direttamente dagli utenti.
Fonte: alert AL02/261028/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 28 ottobre 2026 (impatto sistemico alto). Leggi l’alert originale.
