Adobe 将补丁发布拆为每月两次，应对 AI 压缩的漏洞利用窗口

这是什么？

2026 年 6 月 25 日，Adobe 首席安全官 Aanchal Gupta 宣布，公司将把安全公告与通告的发布从每月一次改为每月两次。新的节奏已于 2026 年 7 月 14 日生效：对于每一份包含正式发布的 CVE 且需要客户采取行动的公告，Adobe 现在会在每月的第二个和第四个星期二发布修复，而不再只是第二个星期二。

这既不是攻击，也不是漏洞，而是一家主要厂商发布补丁方式的结构性变化——而 Adobe 对原因直言不讳。这一原因与微软警告 Patch Tuesday 将变得更重、以及甲骨文将季度补丁改为每月发布背后的原因相同：AI 已经改变了发现与利用漏洞的经济学。

它如何运作

用这位首席安全官自己的话说，Adobe 的判断是「从漏洞公开披露到被主动利用之间的窗口，正从数天压缩到数小时」。前沿模型与智能体分析工具如今能在庞大代码库中比传统审查更快地暴露缺陷——这是 Adobe 在内部用于发现和修复的能力，但一旦补丁公开、可被逆向工程，攻击者同样能获得这种能力。

发现得更多，就意味着要部署更多修复，Adobe 因此认定每月一次的发布窗口「已不够快」。此举与甲骨文的决定相呼应——甲骨文也以 AI 驱动的威胁加速为由，将季度周期改为每月。对于被主动利用或由外部报告的零日漏洞，Adobe 的计划外发布流程依旧保留，叠加在新节奏之上。

在正式生效之前，压力就已显现。2026 年 6 月 30 日——一个第五个星期二、处于常规周期之外——Adobe 为 ColdFusion（APSB26-68）和 Campaign Classic（APSB26-69）发布了两份计划外通告，修复了多个最高严重级别的代码执行缺陷。Adobe 表示发布时未发现被利用，但研究人员观察到，其中一个已修复的 ColdFusion 目录遍历缺陷在披露后数小时内即遭到真实环境的探测——这正是 Adobe 所描述的「被压缩窗口」的具体例证。

为何重要

对防御方而言，厂商将补丁频率翻倍是一把双刃剑。好处是关键修复能按可预期的时间表送达客户，无需再等最多四周的下一个周期。坏处则在运维层面：每一支要给 Adobe 产品打补丁的团队，如今面对的计划内维护事件翻了一倍，而随着利用窗口收窄，任何一次推迟的容忍度都在下降。

更深层的一点是，这正在成为整个生态的趋势，而非单一厂商的选择。当甲骨文、Adobe 和微软在同一年重构各自的发布日历并指向同一原因时，补丁节奏就不再是一个固定的背景假设，而变成漏洞管理项目必须据以规划的移动变量。仍按每月节奏来核定人力与变更窗口的团队，是在对着一份已不复存在的日历做规划。

防御

适应更快节奏的具体步骤：

• 立即更新你的补丁日历。 为 Adobe 产品加入每月的第二个和第四个星期二，并订阅 Adobe 的安全通知服务，以便发布时第一时间收到。
• 按可利用性而非数量分级。 每月通告增多时，应依据主动利用信号（CISA KEV、EPSS）以及暴露且未认证的攻击面来排序，而不是试图一次性全部修补。
• 缩短暴露服务的披露到打补丁间隔。 本地部署的 ColdFusion 与 Campaign 实例，正是攻击者会在数小时内探测的高价值、可代码执行的攻击面；应将其置于认证之后并优先修补。
• 也要为计划外发布做准备。 计划节奏是下限而非上限：零日与主动利用的修复仍会在计划之外到来，因此要随时备好应急变更流程。
• 关注其他厂商的类似动作。 把节奏变化当作一项治理输入：随着更多供应商跟随甲骨文与 Adobe，应重新审视 SLA、人力与维护窗口。

状态

项目	值
宣布	2026 年 6 月 25 日（Adobe 安全博客）
生效	2026 年 7 月 14 日
旧节奏	每月一次（第二个星期二）
新节奏	每月两次（第二与第四个星期二）
范围	每一份含需客户行动之 CVE 的公告/通告
所述动因	AI 加速发现；披露到利用「数天变数小时」
早期触发	ColdFusion（APSB26-68）与 Campaign（APSB26-69）计划外通告，2026 年 6 月 30 日
先例	甲骨文：季度 → 每月（所述原因相同）

关键日期：2026 年 6 月 25 日——Adobe 宣布。2026 年 6 月 30 日——计划外关键通告。2026 年 7 月 14 日——每月两次节奏生效。