アドビは、Adobe Campaign Classicに対して緊急のセキュリティアップデートをリリースしました。複数の重大な脆弱性に対応するもので、遠隔の攻撃者が認証なしに脆弱なサーバー上で任意のコードを実行できてしまう可能性があります。
Securitytraining courses
今回のアップデートはブレティンAPSB26-120として2026年8月3日に公開され、アドビの最高優先度であるPriority 111が付与されています。同社は、影響を受けるAdobe Campaign Classicのオンプレミス環境を利用している組織に対し、直ちにアップグレードするよう呼びかけています。
このアップデートは、WindowsおよびLinux両プラットフォームのAdobe Campaign Classicバージョン7.4.3ビルド9398以前が対象です。顧客はバージョン7.4.3ビルド9399へアップグレードする必要があります。
アドビがホストするインスタンスについては既にパッチが適用済みです。ただし今回のアドバイザリは、完全なオンプレミス展開およびハイブリッド環境のオンプレミス部分に関するものです。
アドビCampaignの重大な欠陥
確認された脆弱性の中で最も深刻なのは、CVE-2026-48331、CVE-2026-48323、CVE-2026-48330の3件で、いずれもCVSSスコアは最高値の10.0が付与されています。
これら3件はすべてネットワーク経由で遠隔から悪用可能であり、権限もユーザー操作も不要で、任意のコード実行につながる恐れがあります。
CVE-2026-48331はサーバーサイドリクエストフォージェリ(SSRF)の脆弱性で、CWE-918に分類されます。SSRFの欠陥は、攻撃者がサーバーを操作して内部サービスやクラウドのメタデータエンドポイント、その他アクセスが制限されたネットワークリソースにリクエストを送らせることを可能にします。この脆弱性が悪用された場合、任意のコード実行につながる可能性があります。
CVE-2026-48323は、テンプレートエンジンにおける特殊要素の不適切な無効化、いわゆるテンプレートインジェクションに起因します。この欠陥により攻撃者は、サーバーサイドのテンプレート式を注入または操作でき、アプリケーションの処理環境内で悪意あるコマンドを実行できるようになります。
CVE-2026-48330は認証を必要としないSQLインジェクションの脆弱性で、CVSSスコアは10.0です。もう一つのSQLインジェクションの脆弱性であるCVE-2026-48326は低い権限を必要とし、評価は9.9となっています。
アドビはまた、CVSSスコア9.8の不適切な認可の欠陥であるCVE-2026-48333も修正しました。これは権限昇格につながる可能性があります。評価9.6のeval注入の脆弱性であるCVE-2026-48317は、低権限の攻撃者が任意のコードを実行できる可能性があります。
さらに、CVE-2026-48399はセキュアな設計原則の違反に起因するセキュリティ機能バイパスの脆弱性で、CVSSスコアは7.5であり、機密情報が露出する可能性があります。
アドビはこれらの脆弱性が実際に悪用された事実は把握していないとしていますが、未認証でのネットワークアクセスが可能である点、最高レベルの深刻度評価、そして任意のコード実行につながる可能性が組み合わさることで、脅威アクターにとって非常に魅力的な標的となっています。
各組織は、速やかにAdobe Campaign Classicをバージョン7.4.3ビルド9399へアップグレードすることが求められます。セキュリティチームには、管理インターフェースおよびアプリケーションインターフェースへの一般アクセスを制限すること、ウェブおよびアプリケーションのログを確認して異常なリクエストがないか調査すること、Campaignサーバーからの予期しないアウトバウンド接続を調査することも推奨されます。
Securitytraining courses
警告: 20以上の政府系サイトが企業や市民にマルウェアを配信していました。 攻撃に関する詳細な調査結果はこちら から確認し、自組織の露出状況をチェックしてください。
翻訳元: https://gbhackers.com/critical-adobe-campaign-flaws/
