10.0Critical
未列入 CISA KEV
PoC 狀態未確認
三句重點
- 成因
- Adobe Connect 對路徑名稱的限制不足（CWE-22），可存取預期目錄之外的檔案或目錄。
- 影響
- 機密性與完整性影響皆為 High，且影響範圍超出元件本身（CVSS 3.1 評分 10.0）。
- 條件
- 網路可達即可觸發，攻擊複雜度低，不需驗證也不需使用者互動。
版本比對
| 套件 | ❌ 受影響版本 | ✅ 安全版本 |
|---|---|---|
| Adobe Connect | 12.8、12.9、12.10、12.11、12.12 各分支（含）及更早版本 | 尚無修補版本 |
偵測提示
- Connect 前端 Web 伺服器存取日誌：檢查請求路徑或參數中是否出現目錄跳脫序列（含正反斜線、單次或雙重 URL 編碼的變體）。
- Connect 應用程式日誌：留意未驗證來源觸發的檔案讀取錯誤、路徑不存在或存取被拒等異常紀錄。
- Connect 主機檔案系統：檢查安裝目錄以外的敏感檔案是否有異常存取，或設定與內容檔案被非預期修改。
- 網路邊界與 WAF：檢視來自外部網路對 Connect 服務的異常大量或含編碼路徑的請求，並比對是否有未驗證即成功回應的情形。
暫時緩解
依 Adobe 安全公告 APSB26-191 將 Adobe Connect 升級至對應修補版本（12.8.a、12.9.a、12.10.f、12.11.i、12.12.a；其中 12.8、12.9、12.12 的修補版本僅見於 CVE 記錄，請以官方公告與 patch 頁面為準）。廠商未提供其他緩解措施；升級前可限制 Connect 服務的外部網路存取，但不能取代升級。
通報團隊
複製成可直接貼到 Slack 或 Email 的通報文字。
預覽通報內容
🚨【資安漏洞通報】CVE-2026-121351 等級：Critical (10.0) 受影響套件：Adobe Connect 12.8、12.9、12.10、12.11、12.12 各分支（含）及更早版本 漏洞簡述：Adobe Connect 對路徑名稱的限制不足（CWE-22），可存取預期目錄之外的檔案或目錄。；機密性與完整性影響皆為 High，且影響範圍超出元件本身（CVSS 3.1 評分 10.0）。；網路可達即可觸發，攻擊複雜度低，不需驗證也不需使用者互動。 建議措施：請參考廠商公告評估修補 詳細連結：https://cve.eacc.online/cve/CVE-2026-121351