[TLP:CLEAR]
bollettino di sicurezza 2026/0257
Aggiornamenti Adobe Photoshop
29-10-2026
adobe, photoshop, out-of-bounds-write, buffer-overflow, arbitrary-code-execution, denial-of-service
descrizione
Adobe ha rilasciato un aggiornamento di sicurezza con priorità 3 per Adobe Photoshop. Questo aggiornamento risolve vulnerabilità classificate come di gravità alta e media, che potrebbero consentire l'esecuzione di codice arbitrario e causare un denial-of-service (DoS) dell'applicazione, rendendola indisponibile o compromettendone il normale funzionamento.Le 18 vulnerabilità riguardano Adobe Photoshop Desktop e si distribuiscono nelle seguenti tipologie:
- Out-of-bounds Write (CWE-787): 9 CVE con esecuzione di codice arbitrario nel contesto dell'utente corrente
- Heap-based Buffer Overflow (CWE-122): 2 CVE con esecuzione di codice arbitrario nel contesto dell'utente corrente
- Integer Overflow or Wraparound (CWE-190): 2 CVE con esecuzione di codice arbitrario nel contesto dell'utente corrente
- NULL Pointer Dereference (CWE-476): 2 CVE con esito denial-of-service dell'applicazione
- Double Free (CWE-415): 1 CVE con esecuzione di codice arbitrario nel contesto dell'utente corrente
- Incorrect Authorization (CWE-863): 1 CVE con esecuzione di codice arbitrario nel contesto dell'utente corrente
1 CVE ha priorità operativa critical.
Al momento della pubblicazione di questo bollettino, non risultano CVE nel catalogo CISA KEV, exploit in the wild o proof-of-concept pubblici.
note
Vettori di attacco e condizioni di sfruttamentoTutte le 18 CVE condividono il vettore AV:L (accesso locale richiesto), AC:L, PR:N (nessun privilegio richiesto), UI:R (richiesta interazione dell'utente). Lo sfruttamento di tutte le vulnerabilità richiede che la vittima apra un file appositamente predisposto. L'eccezione è CVE-2026-95639, che presenta scope changed (S:C) rispetto allo scope unchanged delle restanti 17 CVE, con possibile estensione dell'impatto oltre il componente vulnerabile.
Analisi delle CVE con priorità operativa critical
CVE-2026-95638 — Heap-based Buffer Overflow (CWE-122) in Photoshop Desktop con CVSS 7.8. Il corrotto della memoria nell'heap può portare all'esecuzione di codice arbitrario nel contesto dell'utente corrente tramite apertura di un file malevolo. L'impatto si estende a riservatezza, integrità e disponibilità (C:H/I:H/A:H).
Scope e impatto
17 CVE presentano scope unchanged (S:U). Tra queste, 15 CVE con vettore C:H/I:H/A:H comportano elevato impatto su riservatezza, integrità e disponibilità. Le 2 CVE con NULL Pointer Dereference (CVE-2026-95640, CVE-2026-105896) presentano invece C:N/I:N/A:H, con impatto esclusivamente sulla disponibilità.
CVE-2026-95639 è l'unica con scope changed (S:C) e vettore C:H/I:H/A:H: l'impatto può estendersi oltre il componente vulnerabile.
CVE
| CVE | CVSS | EPSS | priority | 0-day |
|---|---|---|---|---|
| CVE-2026-95638 | 3.1: 7.8/high | 0.231% | 13.93% | 9.1/critical | no |
| CVE-2026-95639 | 3.1: 8.6/high | 0.198% | 9.52% | 8.7/high | no |
| CVE-2026-83661 | 3.1: 7.8/high | 0.211% | 11.29% | 8.4/high | no |
| CVE-2026-95636 | 3.1: 7.8/high | 0.211% | 11.29% | 8.4/high | no |
| CVE-2026-95635 | 3.1: 7.8/high | 0.209% | 10.97% | 8.4/high | no |
| CVE-2026-104348 | 3.1: 7.8/high | 0.187% | 8.25% | 7.5/high | no |
| CVE-2026-95637 | 3.1: 7.8/high | 0.182% | 7.79% | 7.3/high | no |
| CVE-2026-96521 | 3.1: 7.8/high | 0.182% | 7.79% | 7.3/high | no |
| CVE-2026-96522 | 3.1: 7.8/high | 0.182% | 7.79% | 7.3/high | no |
| CVE-2026-95641 | 3.1: 7.8/high | 0.182% | 7.79% | 7.3/high | no |
| CVE-2026-96523 | 3.1: 7.8/high | 0.182% | 7.79% | 7.3/high | no |
| CVE-2026-97312 | 3.1: 7.8/high | 0.182% | 7.79% | 7.3/high | no |
| CVE-2026-100112 | 3.1: 7.8/high | 0.148% | 4.00% | 5.4/medium | no |
| CVE-2026-104346 | 3.1: 7.8/high | 0.148% | 4.00% | 5.4/medium | no |
| CVE-2026-100111 | 3.1: 7.8/high | 0.148% | 4.00% | 5.4/medium | no |
| CVE-2026-104347 | 3.1: 7.8/high | 0.148% | 4.00% | 5.4/medium | no |
| CVE-2026-95640 | 3.1: 5.5/medium | 0.166% | 5.86% | 4.6/medium | no |
| CVE-2026-105896 | 3.1: 5.5/medium | 0.139% | 3.26% | 3.4/medium | no |
NOTA: Le vulnerabilità sono ordinate per priorità operativa, calcolata combinando la gravità teorica (CVSS) con la probabilità reale di sfruttamento (EPSS). Se il dato EPSS non è ancora disponibile, la priorità è calcolata sul solo score CVSS.
Approfondisci
elenco vulnerabilità
| CWE | descrizione |
|---|---|
| CWE-787 | Out-of-bounds Write |
| CWE-122 | Heap-based Buffer Overflow |
| CWE-476 | NULL Pointer Dereference |
| CWE-190 | Integer Overflow or Wraparound |
| CWE-415 | Double Free |
| CWE-863 | Incorrect Authorization |
prodotti impattati
| vendor | prodotto & versioni |
|---|---|
| Adobe |
photoshop
|