Adobe corrige una falla de escalada de privilegios en Creative Cloud Desktop para Windows

Adobe publicó el boletín APSB26-135 para Creative Cloud Desktop en Windows. La vulnerabilidad CVE-2026-104349 se clasifica como un elemento de ruta de búsqueda no controlado y puede permitir escalada de privilegios en el contexto del usuario. Adobe asignó severidad alta y puntuación CVSS 3.1 de 7.3. Las versiones afectadas son 6.10 y anteriores; la versión corregida indicada es 6.11.

El problema es local: el vector publicado requiere acceso local, baja complejidad, privilegios bajos e interacción de usuario. Esto no equivale a una ejecución remota por Internet sin autenticación. En un equipo ya comprometido o compartido, una escalada de privilegios puede ayudar a ampliar el control, por lo que la corrección sigue siendo importante para usuarios y administradores de flotas.

El boletín dice expresamente que Adobe no conoce exploits en el entorno real para los problemas corregidos en esta actualización. La declaración delimita lo que la empresa sabe a la fecha del aviso; no constituye una garantía de que nadie pueda desarrollar una explotación futura. No se reporta una campaña ni un incidente asociado específicamente con CVE-2026-104349.

La clasificación alta se basa en el impacto potencial sobre confidencialidad, integridad y disponibilidad cuando se cumplen las condiciones del vector, no en evidencia de ataques activos. Las organizaciones deben evitar comunicar la falla como un zero-day explotado. La medida concreta es instalar la versión corregida, comprobar la gestión de privilegios local y seguir los avisos oficiales en caso de que Adobe publique una actualización posterior.

Adobe indica que usuarios individuales pueden actualizar mediante la aplicación de escritorio Creative Cloud. En entornos administrados, los equipos de TI pueden desplegar aplicaciones con la Admin Console. Conviene verificar la versión instalada después del proceso y mantener un registro de los equipos cubiertos, ya que una actualización disponible no garantiza que cada estación la haya recibido.

En compañías con paquetes de software controlados, el parche debe probarse en un grupo representativo antes de una distribución amplia, sobre todo si flujos creativos dependen de plugins o configuraciones particulares. La prueba no debería demorar innecesariamente una corrección de severidad alta; puede realizarse por anillos de despliegue con una fecha de cierre clara y procedimientos para resolver incompatibilidades.

El inventario de endpoints debe identificar instalaciones de Creative Cloud Desktop, su sistema operativo y versión. Las cuentas sin necesidad de administración local deberían ejecutarse con privilegios limitados, de forma que una escalada local tenga menos alcance. También ayuda mantener control de software, telemetría de procesos y alertas para instalaciones o cambios fuera de los canales aprobados.

Los administradores pueden confirmar el cierre mediante reportes del gestor de dispositivos o inventario de aplicaciones, no solo por la notificación de actualización en un equipo piloto. Si el producto se usa en estaciones de producción, estaciones compartidas o equipos con acceso a material sensible, priorice esos activos. La segmentación y el mínimo privilegio reducen el impacto de una explotación, pero no sustituyen la actualización a 6.11.

La información publicada por Adobe especifica CVE, producto, sistemas operativos, versiones, impacto, puntuación, versión corregida y estado conocido de explotación. No existe en el boletín una lista de clientes afectados ni datos de incidentes. La noticia se limita a esa evidencia y evita inferir que otras aplicaciones de Adobe o macOS estén comprometidas.

El evento tiene interés para administradores de escritorio, equipos de respuesta y usuarios de Windows que tienen instalada la aplicación. Quienes no la utilizan no requieren acción por este aviso. Antes de cerrar el registro, las organizaciones deberían comprobar la versión 6.11 en los activos y revisar la página de Adobe por si la matriz de productos o recomendaciones cambia.