AdobeはAdobe Campaign Classic(ACC)に対する緊急セキュリティアップデートを公開しました。今回の対応は、未認証のリモート攻撃者が脆弱なサーバー上で任意のコードを実行できる可能性がある複数の重大な脆弱性が明らかになったことを受けたものです。
セキュリティ情報APSB26-120として追跡されているこれらの脆弱性は、Windows版およびLinux版のAdobe Campaign Classic v7、バージョン7.4.3 build 9398以前に影響します。
Adobeは今回のアップデートに優先度1(Priority 1)の評価を付与し、影響を受けるオンプレミス環境を運用している顧客に対し、直ちにbuild 9399へアップグレードするよう強く呼びかけています。
最も深刻な問題はCVE-2026-48331、CVE-2026-48323、CVE-2026-48330の3件で、いずれもCVSSスコアは最大値の10.0となっています。
この3件はいずれも認証やユーザー操作を必要とせずリモートから悪用可能であり、インターネットからアクセス可能なCampaign Classic環境にとっては優先度の高いパッチ適用対象となります。
CVE-2026-48331はサーバーサイドリクエストフォージェリ(SSRF)の脆弱性で、CWE-918に分類されています。影響を受ける環境では、攻撃者がサーバー側のリクエスト処理を悪用することで、本来外部からはアクセスできないはずの内部リソースやサービスにアクセスできる可能性があります。
Adobeによれば、この脆弱性の悪用に成功すると任意のコード実行につながる恐れがあるとのことです。さらに2件の重大な脆弱性、CVE-2026-48323とCVE-2026-48330は、それぞれテンプレートエンジンおよびSQLコマンドのコンテキストにおける特殊要素の不適切な無害化処理に起因しています。
これらの脆弱性はそれぞれCWE-1336とCWE-89に分類されており、リモートかつ未認証での任意コード実行を可能にする恐れがあります。Adobeはまた、CVSSスコア9.9の別のSQLインジェクション問題であるCVE-2026-48326にも対処しています。
最大深刻度の脆弱性とは異なり、この脆弱性の悪用には低い権限が必要ですが、悪用に成功すれば依然として任意コード実行につながる可能性があり、機密性・完全性・可用性のすべてに影響が及びます。
今回のアップデートではさらに、深刻度9.6と評価されたeval(コード評価)インジェクションの脆弱性、CVE-2026-48317も修正されています。この脆弱性の悪用には低レベルの権限が必要ですが、動的に評価されるコード内のディレクティブが適切に無害化されていないことにより、任意コード実行を許してしまう可能性があります。
コード実行に関わる脆弱性に加え、APSB26-120では深刻度9.8と評価された不適切な認可の脆弱性、CVE-2026-48333も修正されています。未認証の攻撃者がこの問題を悪用すれば権限昇格を行うことができ、影響を受けるCampaign Classic環境内でのアクセス範囲を拡大させる可能性があります。
Adobeはさらに、深刻度7.5と評価されたセキュリティ機能バイパスの脆弱性、CVE-2026-48399も修正しています。他の問題に比べCVSSスコアは低いものの、この脆弱性は攻撃者によるセキュリティ制御の回避を許し、機密情報の露出につながる可能性があります。
今回リストアップされた脆弱性はいずれも攻撃の複雑さが低く、ユーザー操作を必要としません。また複数の脆弱性にはCVSSにおける「スコープの変更」という指定が付与されており、これは侵害が脆弱なコンポーネント本来のセキュリティ権限の範囲を超えたリソースにまで影響を及ぼしうることを示しています。
組織はAdobe Campaign Classic v7環境を、できるだけ早くバージョン7.4.3 build 9399へアップデートすべきです。今回のセキュリティ情報が適用されるのは、完全にオンプレミスで運用されているACC環境、およびハイブリッド構成におけるオンプレミスコンポーネントのみです。Adobeがホストするインスタンスについてはすでに修正が完了しており、顧客側での対応は不要です。
管理者は、外部から到達可能なCampaign Classicサーバーを優先的に対応するとともに、不要な公開範囲を制限し、アプリケーションおよびWebサーバーのログを確認して不審なリクエストがないかを調べ、SSRF悪用を示唆する予期しないアウトバウンド通信がないか調査する必要があります。
AdobeはAPSB26-120で修正した脆弱性について、現時点で活発な悪用は確認していないと述べています。しかし、未認証でのリモート攻撃経路、最大値のCVSSスコア、そして任意コード実行という影響の大きさを考え合わせると、迅速なパッチ適用が不可欠だといえます。
SOCの調査における死角を減らし、ANY.RUNを使って脅威をより早期に封じ込め、対応コストと業務への影響を削減しましょう。
翻訳元: https://cyberpress.org/critical-adobe-campaign-flaws/
