В программе для проектирования Cobalt обнаружили сразу пять уязвимостей, позволяющих превратить обработку чертежа в запуск чужого кода. Инициатива Zero Day Initiative (ZDI) опубликовала предупреждения 4 ноября 2026 года. На момент раскрытия все пять ошибок считались неисправленными, хотя сведения о первой разработчик получил ещё в ноябре 2025 года.
Для атаки недостаточно одного подключения к компьютеру. Злоумышленнику потребуется убедить пользователя Cobalt открыть специально подготовленный файл либо перейти на вредоносную страницу, задействующую уязвимый обработчик. Успешная эксплуатация даст возможность выполнить команды с правами запущенного приложения. Наличие уязвимостей не доказывает, что подобные атаки уже происходили.
Три проблемы связаны с обработкой данных XE. Переполнение стека получило номер CVE-2026-121744, а две ошибки обращения к объектам после освобождения памяти зарегистрированы как CVE-2026-121753 и CVE-2026-121742. Ещё два дефекта затрагивают обработчики LI и AR, получив номера CVE-2026-121752 и CVE-2026-121743. Все пять дефектов обнаружил Рокко Кальви из TecSecurity.
Ошибки LI и AR возникают при копировании входных данных в динамическую память без должной проверки размера буфера. В обработчике XE обнаружили аналогичный просчёт со стеком и два случая, когда приложение обращается к объекту без проверки его существования. Повреждение памяти создаёт условия для выполнения кода, но не означает автоматического захвата компьютера при открытии любого CAD-файла.
История раскрытия растянулась почти на год. Первое сообщение поступило Ashlar-Vellum в ноябре 2025 года, последующие обращения датированы декабрём, январём и февралём. В июле разработчик признавал, что исправления как минимум двух ошибок ещё не готовы. После повторных запросов ZDI 29 октября предупредила о публикации, а 4 ноября раскрыла все пять проблем.
Круг потенциально затронутых программ заслуживает отдельной проверки. В мае 2026 года Агентство по кибербезопасности и защите инфраструктуры США (CISA) подтвердило другую ошибку разбора файлов VC6 в Cobalt, Xenon, Argon, Lithium и Cobalt Share. Для CVE-2025-65087 затронуты версии до 12.6.1204.216 включительно; исправление доступно с 12.6.1204.217.
Новые пять CVE, однако, официально относятся только к Cobalt. Ashlar-Vellum выпускает Cobalt, Xenon и Argon в общей линейке, но доказательств присутствия именно ноябрьских дефектов в соседних продуктах пока нет. Cobalt работает в Windows и macOS, а на странице разработчика актуальной названа сборка 1204.219. Подтверждения, что сборка устраняет новую пятёрку уязвимостей, не опубликовано.
Каждой из пяти проблем ZDI присвоила 7,8 балла CVSS 3.0, что соответствует высокой опасности; отдельная оценка NVD пока не обнаружена. Публичных подтверждений эксплуатации в реальных атаках также нет. До появления проверенного исправления ZDI рекомендует ограничить работу Cobalt с недоверенными файлами и страницами, поскольку других подтверждённых способов снизить риск не предложено.