Adobe Campaign Classic の複数の脆弱性が FIX：RCE や SQLi の恐れ

Critical Adobe Campaign Classic Vulnerabilities Enables Arbitrary Code Execution

2026/08/04 CyberSecurityNews — Adobe が発行した、Adobe Campaign Classic に対する重大なセキュリティ更新により、脆弱なシステム上で任意のコード実行を可能にする複数の欠陥が修正された。この 2026年8月3日に公開された更新は、APSB26-120 として追跡されており、Adobe の最高優先度評価である 1 が付与されている。

Adobe Campaign Classic を使用する組織は、それによりクロスチャネル・マーケティング・キャンペーン／顧客プロファイル／メール・ワークフロー／キャンペーン自動化などを管理している。したがって侵害に成功した攻撃者は、機密性の高いマーケティング・データ／内部インフラ／顧客情報／接続されたシステムなどへのアクセスを可能にする。

これらのセキュリティ問題は、Windows／Linux 上の Adobe Campaign Classic ACC v7.4.3 build 9398 以下に影響を及ぼす。組織に推奨されるのは、ACC v7.4.3 build 9399 へ向けて、可能な限り早急にアップグレードすることだ。

Adobe Campaign Classic の脆弱性

最も深刻な欠陥は、任意コード実行につながる可能性がある、3 件の未認証の攻撃を許すリモートの脆弱性 (CVSS 10.0) である。CVE-2026-48331 は Server-Side Request Forgery (SSRF)／CVE-2026-48323 はテンプレート・エンジン・インジェクション／CVE-2026-48330 は SQL インジェクションである。

これらの CVSS ベクターが示すのは、認証やユーザー操作を必要とせずに、ネットワーク越しにリモートからの悪用が可能な点である。そのため、インターネットに面した Campaign Classic デプロイメントや外部からのアクセス可能な Campaign Classic デプロイメントでは、迅速なパッチ適用が重要になる。

1 つ目の脆弱性 CVE-2026-48331 は SSRF の欠陥である。内部サービス／クラウド・メタデータ・エンドポイント／通常はインターネットからアクセスできないシステムへ向けて、この SSRF のバグを突く攻撃者は、脆弱なサーバを介してリクエストを送信する可能性がある。特定の環境では、この欠陥により攻撃者が認証情報へアクセスし、内部ネットワークをマッピングし、管理サービスへ到達する恐れがある。

4 つ目の脆弱性として、Adobe は SQL インジェクションの脆弱性 CVE-2026-48326 (CVSS 9.9) にも対処している。この脆弱性の悪用においては低レベルの権限が必要となるが、悪意のある認証済みユーザー、または、盗まれた認証情報を持つ攻撃者は、この脆弱性を悪用してコードを実行し、基盤となるサーバを侵害する可能性がある。

5 つ目の脆弱性 CVE-2026-48333 (CVSS 9.8) は、不適切な認可の欠陥であり権限昇格を許すものだ。この欠陥を悪用する攻撃者は、本来の権限を超えて各種の機能やデータにアクセスする可能性がある。

6 つ目と 7 つ目の脆弱性は、CVSS スコア 9.6 の eval インジェクションの欠陥 CVE-2026-48317 と、CVSS スコア 7.5 のセキュリティ機能バイパスの欠陥 CVE-2026-48399 である。

この eval インジェクションは、アプリケーションが動的コードを安全ではない方法で処理する場合に発生する可能性があり、攻撃者が制御するコマンドの実行を許す恐れがある。

Adobe は、これらの脆弱性を悪用した実環境での攻撃は確認されていないと述べている。しかし、深刻度の高さ／リモート攻撃経路／不要な認証要件などを踏まえると、迅速な修復が不可欠である。

Adobe のアドバイザリは、オンプレミス／ハイブリッドの Adobe Campaign Classic デプロイメントに適用される。その一方で、すでに Adobe ホステッド・インスタンスは修復済みであり、顧客側の対応は不要である。

セキュリティ・チームにとって必要なことは、露出している Campaign Classic サーバの特定と、build 9399 の適用である。さらに、管理者アカウントの確認／不要なネットワーク・アクセスの制限に加えて、異常なリクエスト／予期しないデータベース・アクティビティ／権限に対する不審な変更などについて、ログを監視する必要がある。

Adobe Campaign Classic において、外部からの制御を許す重大な不備が報告されています。この問題の原因は、リクエストの転送処理や入力値の検証不足、動的処理の不適切な取り扱いなどにあります。悪用された場合、遠隔から権限なしで命令が実行され、顧客データの不正取得やシステム基盤の乗っ取りにつながる恐れがあります。特定された脆弱性は CVE-2026-48331／CVE-2026-48323／CVE-2026-48330／CVE-2026-48326／CVE-2026-48333／CVE-2026-48317／CVE-2026-48399 です。対応策として、最新ビルドへのアップグレードが有効です。システムを安全に利用するためにも、ネットワーク・アクセスを制限し、修正版プログラムを速やかに適用することが推奨されます。