Adobe Campaign Classicに重大なXSS脆弱性
Adobe Campaign Classicの7.4.4 build 9402以前に、細工されたURLを開いただけでアカウントやセッションを操作されるおそれのある脆弱性が見つかりました。メール配信や顧客管理にこの製品を使っている組織は、まず自社の版を確認し、Adobeの告知に沿って修正版を計画的に当ててください。
急ぎ度: 早めに
CVSS v3は9.3で重大に分類されますが、悪用には利用者のクリックなどの操作が必要で、実際の攻撃が確認されたという情報も出ていないため、急ぐものの至急とまでは言えない水準です。
関係があるか
Adobe Campaign Classicを使っている組織が対象です。管理や運用の担当者がブラウザーから画面を開く環境ほど、影響を受けやすくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Adobe Campaign Classic | 7.4.4 build 9402以前 | Adobeのセキュリティ情報APSB26-162で確認してください |
確かめ方
- 1運用中のAdobe Campaign Classicの版とbuild番号を、管理コンソールのバージョン情報で確認します。
- 2表示された版が7.4.4 build 9402以下なら、対象に当たります。
- 3開発、検証、本番など環境が複数あるときは、すべての環境で同じ確認をします。
- 4Adobeが出したAPSB26-162の内容と、自社の版を照らし合わせます。
何が起きたか
Adobe Campaign Classicに、Webページへ悪意あるスクリプトを差し込まれてしまう脆弱性が見つかりました。悪用されると、被害者のアカウントやセッションに対して、本来より強い権限でのアクセスや操作を許すおそれがあります。公表日は2026年10月27日です。
種類はリフレクテッド型のクロスサイトスクリプティング（CWE-79）です。外から渡された入力がそのままページに反映され、利用者のブラウザー上で実行されます。
CVSS v3の基本値は9.3で、深刻度は重大です。評価では影響範囲の変更（Scope changed）が付いており、脆弱な部分だけでなく、その外側にも被害が及ぶと見積もられています。
攻撃の流れ
-
1
細工したURL
攻撃者が、悪意あるスクリプトを含ませた特別なURLやページを用意します。
-
2
利用者が開く
対象のAdobe Campaign Classicを使う人が、そのURLを開くか、細工されたページを操作します。
-
3
スクリプト実行
入力が画面にそのまま反映され、被害者のブラウザー上でスクリプトが動きます。
-
4
権限を悪用
被害者のアカウントやセッションの権限で、情報の閲覧や操作をされるおそれがあります。
どう悪用されるか
攻撃にログインは要りません。ネットワーク経由で仕掛けられ、複雑な条件も必要ありません。ただし、被害者が細工されたURLを開くか、侵害されたページを操作する必要があります。
成功すると、被害者のアカウントやセッションの権限を使われます。機密性と完全性への影響は高く、可用性への影響はないと評価されています。つまり、サービスが止まるというより、情報を読まれたり書き換えられたりすることが主な被害です。
なお、被害者が管理者権限を持つ担当者であれば、影響は大きくなります。
今すぐやること
-
1
版を確認する
全環境でAdobe Campaign Classicの版とbuild番号を調べ、7.4.4 build 9402以前かどうかを洗い出します。
-
2
Adobeの告知を読む
APSB26-162で、修正版の版番号と適用手順を確認します。
-
3
修正版に更新する
まず検証環境で動作を確かめ、そのあと本番に適用します。配信業務が止まらない時間帯を選んで計画します。
-
4
利用者に注意を伝える
運用担当者には、出どころの分からないリンクからこの製品の画面を開かないよう伝えます。更新までの間は、ブックマークから入る運用に絞ると安心です。
すぐ更新できないとき
すぐに更新できないときは、管理画面へのアクセス元をVPNや社内ネットワークに絞り、利用者に不審なリンクを開かせない運用を徹底してください。WAFで不審な入力を検知する方法もありますが、軽減にとどまり、修正版の代わりにはなりません。Adobeが公式の回避策を案内しているかどうかは、APSB26-162で確認してください。
背景
Adobe Campaign Classicは、顧客リストをもとにメールやSMSの配信、キャンペーンの設計と実行を担うマーケティング基盤です。担当者のログイン状態を通じて、顧客データや配信設定に触れられる権限が集まっています。そのため、利用者のセッションを乗っ取られる脆弱性は、単なる画面の表示崩れでは済みません。
リフレクテッド型のXSSは、保存型と違って被害者にURLを開かせる一手間が要ります。その分、メールやチャットで送られたリンクを、日常業務の流れで開いてしまう場面が現実的な入口になります。配信業務で外部とのリンクのやり取りが多い部署ほど、注意が要ります。
よくある質問
Q.運用担当者には、具体的に何を伝えればよいですか。
まだ分かっていないこと
- 修正版の版番号と、実際の攻撃で悪用されたかどうかは、これまでのところ分かっていません。最新の状況はAdobeのAPSB26-162で確認してください。
- Adobeが運用する環境で、利用者側の作業なしに修正が反映されるのかどうかも分かっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Adobe | Adobe Campaign Classic |
7.4.4 build 9402 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Adobe Campaign Classic (ACC) is affected by a reflected Cross-Site Scripting (XSS) vulnerability. An attacker could exploit this vulnerability to inject malicious scripts into a web page, potentially gaining elevated access or control over the victim's account or session. Exploitation of this issue requires user interaction in that a victim must visit a maliciously crafted URL or interact with a compromised web page. Scope is changed.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web adobe.com
- web nvd.nist.gov
- web github.com