Adobeは、Adobe Campaign Classicに存在する2件の深刻な脆弱性に対処する緊急セキュリティアップデートを公開しました。これらの脆弱性を悪用されると、攻撃者が任意のコードを実行したり、影響を受けるサーバーから機密ファイルを窃取したりできるおそれがあります。
APSB26-114として追跡されているこの公開情報は2026年7月29日に発表され、Adobe社内で最も高い優先度評価が付けられています。今回のアップデートでは、いずれも「Critical(緊急)」と評価された2つの異なる脆弱性が修正されています。
1つ目のCVE-2026-48449は、不適切な認可(CWE-863)に起因する脆弱性で、任意のコード実行を可能にします。
この脆弱性はCVSS 3.1で最大値の10.0を記録しており、ネットワーク経由で権限やユーザー操作を必要とせずに悪用可能で、機密性・完全性・可用性のすべてに完全な影響を及ぼします。
2つ目のCVE-2026-48448は、SQLインジェクション(CWE-89)に起因する脆弱性で、任意のファイルシステム読み取りにつながり、CVSS 3.1で8.6のスコアが付いています。この脆弱性を悪用されると、認証なしで基盤システムから機密ファイルを抜き取られるおそれがあります。
認可バイパスの脆弱性は攻撃者にリモートコード実行への直接的な経路を与える一方、SQLインジェクションの脆弱性は設定ファイルや認証情報といった機密データを窃取する別の経路を提供します。
この脆弱性は、Adobe Campaign Classic v7のビルド7.4.3.9397以前に影響し、WindowsとLinuxの両環境で稼働するものが対象です。Adobeは、この公開情報がオンプレミス環境、およびハイブリッド構成におけるオンプレミス部分にのみ適用されると明言しています。
Adobeが完全にホストしているインスタンスを利用している顧客については、サーバー側で既に修正が完了しており、追加の対応は不要です。Adobeは、オンプレミス環境を利用する全顧客に対し、両方の脆弱性を解決するビルド7.4.3.9398へ直ちにアップグレードするよう求めています。
優先度1の評価と、CVE-2026-48449がネットワーク経由でユーザー操作を必要とせず悪用可能である点を踏まえると、各組織はこれを通常のメンテナンスではなく緊急パッチサイクルとして扱うべきです。
本記事公開時点で、Adobeは、いずれのCVEについても実環境での悪用の証拠は確認されていないとしています。しかし、CVE-2026-48449が最大の深刻度スコアを記録していること、そして同プラットフォームが企業のマーケティングオートメーションで広く利用されていることを踏まえる必要があります。
Adobeはまた、2026年8月11日から適用されるプロセス変更についても言及しています。今後は、社内で発見され、深刻度とCWEカテゴリが同一の脆弱性について、単一のCVE識別子に統合される場合があるとのことです。
オンプレミスのAdobe Campaign Classicインスタンスを運用している組織は、パッチ適用を最優先で進めるとともに、直近の認証ログやファイルアクセスログに異常がないか確認し、ハイブリッド構成のコンポーネントが更新を適用済みであることを確かめる必要があります。手動での対応が必要となるのは、オンプレミス部分のみである点に注意してください。
SOC調査の死角を減らし、脅威をより早い段階で封じ込めることで、ANY.RUNを活用した対応コストと業務への影響を削減できます。
翻訳元: https://cyberpress.org/critical-adobe-campaign-classic-flaws/
