Adobe Campaign Classicに脆弱性、任意コード実行の恐れ
Adobe Campaign Classicの7.4.4 build 9402以前に、サーバー上で任意のコードを実行されるおそれのある脆弱性が見つかりました。自社でこの製品を動かしている組織は、版を確認したうえで、Adobeの告知にある修正版への更新計画を立ててください。
急ぎ度: 早めに
CVSS v3は9.1と高く影響も大きい一方、悪用には高い権限が必要で、実際の攻撃で悪用されたという情報は確認できないため、計画的な更新を前倒しで進める段階です。
関係があるか
Adobe Campaign Classicを自社のサーバーで運用し、メール配信や顧客データの管理に使っている組織が対象です。Adobeが運用する環境をお使いの場合は、更新の扱いをAdobeに確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Adobe Campaign Classic | 7.4.4 build 9402以前 | Adobeのセキュリティ情報（APSB26-162）で案内される版 |
確かめ方
- 1クライアントコンソールのバージョン情報、または運用手順書の記録から、稼働中のサーバーの版とbuild番号を確認します。
- 2build番号が9402以下であれば対象です。ステージングや検証用など、本番以外のインスタンスも洗い出してください。
- 3Adobeのホスティングで利用している場合は、契約窓口に更新の予定を問い合わせます。
何が起きたか
Adobe Campaign Classicに、データベースへの問い合わせ文の組み立て方に起因するSQLインジェクションの脆弱性が見つかりました。悪用されると、サーバー上で攻撃者が選んだコードを動かされるおそれがあります。
コードは、そのときのユーザーの権限で実行されます。脆弱な部品の外側にも影響が及ぶと評価されており、CVSSのスコープは「変更あり」です。機密性・完全性・可用性への影響は、いずれも高と見積もられています。
Adobeは2026年10月27日に、セキュリティ情報APSB26-162でこの問題を公表しました。分類はCWE-89で、CVSS v3は9.1です。
攻撃の流れ
-
1
高権限で接続
高い権限を持つアカウントで、ネットワーク経由でACCに到達します。
-
2
不正な入力
入力に紛れ込ませた特殊な文字列が、データベースへの命令の一部として解釈されます。
-
3
コード実行
ACCを動かしているユーザーの権限で、任意のコードが実行されます。
-
4
影響が拡大
ACC本体の外側にある情報やシステムにも影響が及びます。
どう悪用されるか
悪用にはネットワーク経由のアクセスと、高い権限を持つアカウントが必要です。攻撃の複雑さは低く、利用者に何かを操作させる必要はありません。
この条件から、インターネットから誰でも突ける種類の脆弱性ではないと読めます。ただし、管理者相当のアカウントが漏えいした場合や、内部の関係者が悪用した場合には、成立する可能性があります。
成立した場合の被害は、ACCが扱う顧客情報や配信データの閲覧・改ざん、サービスの停止、ACCが動くサーバーを足場にした社内ネットワークへの侵入などです。
今すぐやること
-
1
稼働中の版を確認する
本番・検証・開発を含む全インスタンスで、版とbuild番号を洗い出します。7.4.4 build 9402以下のものが対象です。
-
2
Adobeの告知で修正版を確認する
APSB26-162に記載された修正版と、更新手順や注意事項を読みます。現在の版から修正版までの更新経路も確認します。
-
3
検証環境で更新してから本番に適用する
配信ワークフローや外部システムとの連携が止まらないかを検証環境で確かめます。そのうえで、バックアップを取り、本番を修正版に更新します。
-
4
高権限アカウントを見直す
管理者相当の権限を持つアカウントの棚卸しを行い、不要なアカウントの削除と、パスワードや多要素認証の設定の見直しを進めます。更新の前後で、不審な操作やログイン履歴がないかも点検してください。
すぐ更新できないとき
更新までに時間がかかる場合の暫定策として、ACCの管理用の接続元をVPNや特定のIPアドレスに限定します。あわせて、高い権限を持つアカウントを必要最小限に絞り、権限の使用状況を監視します。これらは攻撃の機会を減らすもので、脆弱性そのものを解消する方法ではありません。
背景
Adobe Campaign Classicは、メールやSMSの一括配信、顧客リストの抽出と絞り込み、配信シナリオの実行を担うマーケティング基盤です。顧客の連絡先や属性、配信履歴を持つデータベースと密接に結びついており、社内の他システムとのデータ連携も多い製品です。
SQLインジェクションは、入力値がデータベースの命令に混ざることで起きる、古くから知られた種類の脆弱性です。ACCでは顧客データを条件で抽出する機能が中心にあるため、問い合わせ文を扱う処理が多く、データベースやサーバーの権限と近い位置で動きます。今回の脆弱性は、データの閲覧にとどまらず、サーバー上でのコード実行につながる点が特徴です。
よくある質問
Q.高い権限が必要なら、更新は後回しにしてよいですか。
まだ分かっていないこと
- 修正版の具体的な版番号は、ここでは示せません。更新先や更新手順はAdobeのセキュリティ情報（APSB26-162）で確認してください。
- 実際の攻撃での悪用や、攻撃コードの公開の有無は分かっていません。Adobeの告知や、各国のセキュリティ機関の情報を確認してください。
- Adobeがホスティングする環境の更新状況や、回避策の有無は分かっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Adobe | Adobe Campaign Classic |
7.4.4 build 9402 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Adobe Campaign Classic (ACC) is affected by an Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability that could result in arbitrary code execution in the context of the current user. An attacker with high privileges could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
出典: CVE.org (CVE Program・cvelistV5) NVD
参照URL
- web psirt@adobe.com