Adobe Campaign Classic の Critical 脆弱性 CVE-2026-76197／76195／76193 が FIX：RCE の恐れ

Adobe Campaign Classic Vulnerabilities Enable Arbitrary Code Execution

2026/08/27 CyberSecurityNews — Adobe が公表したのは、Adobe Campaign Classic に存在する未認証のリモート・コード実行の Critical 脆弱性 3 件に対する、Priority 1 のセキュリティアップデートのリリースである。これらの脆弱性は Critical と評価され、Windows／Linux 上のオンプレミス版 Adobe Campaign Classic バージョン 7.4.4 build 9400 以下に影響を及ぼすものであり、そのセキュリティ情報は 2026年08月25日に APSB26-134 として公開されている。Adobe は、今回のリリースで修正された脆弱性について、実際の攻撃で悪用された事例は確認していないとしている。ただし、CVSS スコア10.0 とネットワーク経由で攻撃可能な条件を考慮すると、迅速なパッチ適用が不可欠である。

Adobe Campaign Classic の脆弱性

これらの OS コマンド・インジェクションの脆弱性 CVE-2026-76197／CVE-2026-76195 は、アプリケーションが特殊文字または攻撃者が制御する入力を OS コマンドへ渡す前に、安全に処理できない場合に発生する。

それにより、悪意のコマンドが挿入され、Adobe Campaign Classic プロセスのセキュリティ・コンテキストで実行される可能性がある。この脆弱性を悪用する攻撃者は、認証情報やユーザー操作を必要とせずに、ネットワーク経由でリモートから攻撃し、機密性／完全性／可用性に重大な影響を与える可能性がある。

3 件目の CVE-2026-76193 は、CWE-918 として分類されるサーバーサイド・リクエスト・フォージェリ (SSRF) の脆弱性である。SSRF の脆弱性を悪用する攻撃者は、サーバを操作し、攻撃者に代わってリクエストを送信させる可能性がある。

影響を受けるアプリケーションの機能やネットワークアクセスに応じて、内部サービスの露出／通常では到達できないシステムへのアクセス／コード実行攻撃チェーンでの悪用につながる可能性がある。

Adobe は一連の脆弱性を Critical (CVSS 10.0) と評価し、任意のコード実行につながる可能性もあるとしている。Adobe Campaign Classic を使用するユーザー組織は、複数チャネルにまたがるマーケティング・キャンペーンの管理と自動化を行っているため、深刻な影響が懸念される。

Adobe Campaign Classic が外部に公開されている場合や、ネットワーク分離が不十分な環境が侵害されている場合には、リスクはアプリケーション・サーバ自体に留まらない。さまざまな不正アクセスが生じ、キャンペーンデータ／接続インフラ／認証情報／内部ネットワーク・リソースなどに被害が生じる可能性がある。

すでに Adobe は、Adobe Campaign Classic v7 7.4.4 build 9401 をリリースし、この問題に対処している。build 9400 以前を運用している管理者にとって必要なことは、パッチ適用済み build への即時のアップグレードと、すべての関連する Windows／Linux インスタンスが更新済みであることの確認である。

このセキュリティ情報は、完全なオンプレミス環境およびハイブリッド環境のオンプレミスコンポーネントに適用される。Adobe によると、すでに Adobe がホストするインスタンスは修正済みであり、顧客による対応は不要である。

パッチ適用が完了するまでの期間に、防御担当者に求められるのは、Campaign Classic インターフェイスへのアクセス制限／信頼できるネットワークのみへの公開範囲の制限／異常なプロセス実行を検出するためのログの確認／Campaign Classic サーバーから発生する予期しないアウトバウンド接続の調査である。

Adobe Campaign Classic に深刻な脆弱性が発生し、更新プログラムが適用されました。Adobe Campaign Classic 7.4.4 build 9400 以下には、外部からの入力に対する確認処理が不足しています。これにより認証なしでの遠隔操作／重要データの漏洩／システム制御権の奪取といった甚大な影響が生じます。影響を受ける CVE-2026-76197／CVE-2026-76195／CVE-2026-76193 に対しては、修正版 build 9401 への速やかな改修や通信制限などの防御措置が求められます。