Adobe'nin APSB26-101 bülteni Premiere Pro'daki rasgele kod çalıştırma açıklarını kapatıyor

Adobe, 10 Kasım 2026'da yayımlanan APSB26-101 güvenlik bülteni aracılığıyla Premiere Pro'daki bir grup yüksek ve orta öncelikli güvenlik açığını kapattı. Bülteni inceleyen bir dev.to yazısına göre bu açıklar, rasgele kod çalıştırma, dosya sisteminde rasgele okuma veya yazma ve uygulamaya yönelik hizmet reddi saldırısına olanak tanıyabiliyor. Adobe, açıkın sahadaki herhangi bir sömürüsünden haberdar olmadığını belirtiyor.

Yamalar neyi düzeltiyor

Yüksek öncelikli kayıtlar arasında buffer taşmaları, sınırlar dışına yazma hataları, bir path traversal açığı ve güvenilmeyen arama yolu (untrusted search path) sorunu yer alıyor. Hatalardan birkaçı kullanıcı etkileşimi gerektiriyor; yani kurbanın önce kötü niyetli bir dosyayı açması gerekiyor. dev.to yazarının da belirttiği gibi, bu ön koşul bir kurgu ortamında kolayca karşılanıyor: müşterilerden veya iş ortaklarından gelen proje dosyalarını, içe aktarılan medyaları ve bağlı varlıkları açmak istisnai bir durum değil, rutin bir iştir.

Etkilenen ve düzeltilen sürümler

dev.to'da özetlenen bültene göre Premiere 26.5.2 ve daha eski sürümler ile 25.6.6 ve daha eski sürümler hem Windows hem macOS üzerinde etkileniyor. Güncellenmiş sürümler ise Premiere 27.0 ve 26.5.3. 25.x hattı için düzeltilmiş bir sürüm listelenmediğinden, bu hatta kalan ekiplerin 26.5.3 paketinin doğrudan yerine geçebileceğini varsaymak yerine desteklenen bir yükseltme yolunu izlemesi gerekiyor. Yazı ayrıca, kurgucuların eklenti veya proje uyumluluğu için eski kurulumları elllerinde tutmaya eğilimli olması nedeniyle yama durumunun yaratıcı ekiplerin gerçekte kullandığı sürümlerden sapabileceği konusunda uyarıyor. İkincil makineler ve paylaşılan kurgu sistemleri dahil kurulu her sürümün envanterinin çıkarılmasını öneriyor.

Kurgu iş istasyonları neden riski büyütüyor

Masaüstü kurgu uygulamaları, oturum açmış kullanıcının tam dosya erişimiyle çalıştığından, bu açıkları sömüren kötü niyetli bir proje veya medya dosyasının erişimi uygulamanın çok ötesine geçebilir. Kaynak görüntüler, müşteri belgeleri, tarayıcı oturumları ve aynı profildeki kayıtlı kimlik bilgilerinin tümü etki alanı içinde kalıyor. dev.to yazısı, doğru kontrolün medya açmayı bırakmak değil, güvenilmeyen kaynakları üretim ortamının geri kalanından ayırmak olduğunu savunuyor: dışarıdan gelen gönderimler için ayrı bir hesap veya sanal makine kullanın, dosyaları alma sınırında tarayın ve ödeme veya yönetici kimlik bilgileri barındıran makinelerde bilinmeyen projeleri açmaktan kaçının.

Sertleştirme ve olay müdahalesi adımları

Yamanın yanı sıra yazı; proje medyasını denetimli bir klasörde tutmayı, dosya türlerini dosya adı uzantısına güvenmek yerine doğrulamayı ve iş akışının izin verdiği ölçüde güvenilmeyen kaynaklardan gelen dosyalar için otomatik önizleme oluşturmayı veya thumbnail çıkarmayı devre dışı bırakmayı öneriyor. Düzeltilmiş sürüm onaylı bir dağıtım kanalıyla yayımlanmalı, ardından eklentiler ve dışa aktarma ön ayarları test edilmeli ve şüpheli bir olayın çalışma ortamını yok etmeden araştırılabilmesi için temiz bir sistem anlık görüntüsü saklanmalıdır.

Şüpheli bir proje zaten açılmışsa, önerilen müdahale iş istasyonunu izole etmek ve proje dosyasını, bağlı medyayı, uygulama günlüklerini ve son dosya etkinliğini korumak, ardından süreç oluşturma kayıtlarını, ağ bağlantılarını ve başlangıç öğelerindeki değişiklikleri incelemektir. Ele geçirilme olasıysa kurgu oturumu sırasında erişilebilir olan kimlik bilgileri döndürülmeli, paylaşılan proje depolaması, render düğümleri ve varlık kütüphanelerinde güvenilmeyen dosyanın kopyaları aranmalıdır. Yazı ölçülü olunması gerektiği konusunda da bir not ekliyor: tek başına bir çökme, sömürme kanıtı değildir; çünkü bozuk biçimli medya da uygulamayı kendi başına kararsız hale getirebilir.

Neden önemli

Bu açıkları sömürmek, bir kurgucunun dosya açmasından daha egzotik hiçbir şey gerektirmiyor — ki bu da işin temel eylemi — ve başarılı bir saldırı kullanıcının tam izinleriyle sonuçlanıyor; yani iş istasyonunda kod çalıştırma veya geniş kapsamlı dosya okuma ve yazma erişimi anlamına geliyor. Medya hatları sürekli olarak dış taraflarla dosya alışverişi yaptığından, yama edilmemiş bir kurgu sistemi, üretim ortamına ve kimlik bilgisi depolarına gerçekçi bir giriş noktasıdır. Şimdiye kadar bilinen bir sömürme olmadığından, şimdi 27.0 veya 26.5.3'e güncelleme ucuz bir sigortadır ve yamayı alma izolasyonuyla eşleştirmek, ileride ne dosya işleme hatası çıkarsa çıksın onun etkisini sınırlar.