重大 9.9 急ぎ度: 早めに

Adobe Campaign Classicに深刻なコード実行の脆弱性

Adobe Campaign Classicに、低い権限のアカウントから任意のコードを実行されかねない脆弱性が見つかりました。7.4.4 build 9402以前を使っている組織が対象です。まず自社の版を確認し、Adobeのアドバイザリに従って更新の段取りを組んでください。

CVE-2026-104351 公開 2:23 生成 AI で作成

急ぎ度: 早めに

CVSS v3は9.9で、ネットワーク経由かつ低権限で悪用できる条件ですが、実際の攻撃での悪用は確認されておらず、KEVにも載っていないため、至急ではなく早めの更新が妥当です。

関係があるか

Adobe Campaign Classic（ACC）でメールなどの配信キャンペーンを運用している組織が対象です。ログインできるアカウントが多い環境ほど、影響を受けやすくなります。

製品	影響を受ける版	直った版
Adobe Campaign Classic	7.4.4 build 9402以前	版番号は未確認です。Adobeのアドバイザリ（APSB26-162）で確認してください

確かめ方

1ACCのクライアントコンソールで、ヘルプのバージョン情報から版とビルド番号を確認します。
2サーバーに入れる場合は、nlserver -version で版を確認できます。
3ホスティング契約や外部の運用事業者に任せている場合は、担当者にバージョンと更新予定を問い合わせてください。
47.4.4 build 9402以前であれば、影響を受ける版にあたります。

何が起きたか

Adobe Campaign Classicに、コードインジェクション（CWE-94）の脆弱性が見つかりました。悪用されると、ACCを動かしているユーザーの権限で、攻撃者が任意のコードを実行できます。

Adobeは2026年10月27日にアドバイザリ（APSB26-162）を公開しました。深刻度はCVSS v3で9.9、評価はcriticalです。

評価では「Scope is changed」とされています。脆弱なコンポーネントの範囲を超えて、ほかの資産にも影響が及びうるという意味です。

攻撃の流れ

1

低権限で到達

ACCにログインできる低い権限のアカウントを、攻撃者が手に入れます。
2

ネットワーク経由

ネットワーク越しにACCへ不正な入力を送ります。
3

コードとして処理

ACCが入力の一部をコードとして扱ってしまいます。
4

任意コード実行

ACCの実行ユーザーの権限で、攻撃者のコードが動きます。
5

影響の拡大

ACCの範囲を超えて、データや周辺システムに影響が及びます。

公開されている情報をもとにした流れの例です。

どう悪用されるか

悪用にはACCへのログインが必要ですが、求められる権限は低いもので足ります。ネットワーク経由で攻撃でき、複雑な条件はなく、利用者に何かを操作させる必要もありません。

そのため、委託先や外部の担当者に配布している低権限アカウントや、使われなくなった古いアカウントが入口になりえます。

悪用されると、ACCの実行ユーザーの権限で任意のコードが動きます。機密性・完全性・可用性のすべてに高い影響が出る評価で、顧客データの閲覧や改ざん、配信基盤の停止まで想定されます。

今すぐやること

1
使っている版を確認する

本番・検証を含むすべてのACC環境で、版とビルド番号を洗い出します。7.4.4 build 9402以前なら対象です。
```
nlserver -version
```
2

修正版を確認して更新する

Adobeのアドバイザリ（APSB26-162）で修正版を確認し、検証環境で動作を見たうえで本番に適用します。米国のKEVに載っていないため期限は示されていませんが、深刻度が高いため、次の定例メンテナンスまで待たず日程を前倒しにするのが無難です。
3

ログインできるアカウントを棚卸しする

使われていないアカウントや、必要以上の権限を持つアカウントを無効にします。低権限でも悪用できるため、更新までの間にリスクを下げられます。
4

不審な動きがないか確認する

ACCサーバーのプロセスやログに、心当たりのない実行や設定変更がないかを見ます。更新前の期間も含めて確認してください。

すぐ更新できないとき

Adobeが個別の回避策を示しているかは確認できていないため、修正版の適用が基本です。すぐに当てられない間は、ACCへの接続元を社内ネットワークや必要なIPアドレスに絞り、不要なアカウントを無効にして、悪用される入口を減らしてください。

背景

ACCは、顧客データベースを基にメールやSMSの配信キャンペーンを設計し、実行するための製品です。顧客の連絡先や属性といった個人情報と、大量配信の基盤が一か所に集まるため、乗っ取られたときの影響は配信システム単体にとどまりません。

コードインジェクションは、入力された文字列がデータではなくコードとして解釈されることで起きます。今回の脆弱性は、ログインできる低権限の利用者が起点になる点が特徴で、外部の事業者や複数部門にアカウントを配っている運用では、想定より多くの人が攻撃の入口になりえます。

よくある質問

Q.Adobe Campaign Standardなど、ほかのAdobe製品も対象ですか。

A.今回の脆弱性の情報に挙がっている製品はAdobe Campaign Classicだけです。ほかの製品を使っている場合は、Adobeのアドバイザリで対象かどうかを確認してください。

まだ分かっていないこと

修正版の具体的な版番号と、アップデートの入手方法は確認できていません。Adobeのアドバイザリ（APSB26-162）で確認してください。
ホスティング型の提供形態にも影響があるか、Adobe側で対処済みかは分かっていません。
悪用に必要な権限の具体的な範囲と、実際の攻撃での悪用の有無は分かっていません。

この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
Adobe	Adobe Campaign Classic	7.4.4 build 9402 以前	—

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Adobe Campaign Classic (ACC) is affected by an Improper Control of Generation of Code ('Code Injection') vulnerability that could result in arbitrary code execution in the context of the current user. A low-privileged attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.

出典: CVE.org (CVE Program・cvelistV5) NVD

参照URL

web psirt@adobe.com