Adobe Campaign Classicに重大な脆弱性、遠隔のコード実行の恐れ
Adobe Campaign Classicに、低い権限のアカウントから遠隔でコードを実行されるおそれのある脆弱性が見つかりました。7.4.4 build 9402以前を使っている組織が対象で、Adobeの告知にある修正版への更新を早めに計画してください。更新までのあいだは、ログインできるアカウントと接続元の見直しが当面の手当てになります。
急ぎ度: 早めに
CVSS v3が9.9と最高水準で、利用者の操作なしにネットワーク越しでコード実行に至りうるため、Adobeの告知にある修正版を早めに適用したい脆弱性です。
関係があるか
Adobe Campaign Classicを自社で運用し、メール配信やキャンペーン管理に使っている組織が対象です。担当者や委託先など、低い権限でもログインできる利用者がいる環境ほど影響を受けやすくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Adobe Campaign Classic | 7.4.4 build 9402以前 | 修正版の版番号は、Adobeのセキュリティ情報（APSB26-162）で確認してください |
確かめ方
- 1社内でAdobe Campaign Classicを使っている部門を洗い出し、運用管理者にサーバー側のビルド番号を確認してもらいます。
- 2確認した版が7.4.4 build 9402以前であれば、対象です。
- 3ビルド番号の確認手順は環境ごとに異なるため、導入時の手順書かAdobeのドキュメントを参照してください。
- 4委託先や外部の事業者が運用している場合は、その事業者にも版を問い合わせます。
何が起きたか
Adobe Campaign Classicに、SQLインジェクションの脆弱性（CWE-89）が見つかりました。悪用されると、ログイン済みの低権限の利用者が、現在のユーザーの権限で任意のコードを実行できてしまいます。
CVSS v3は9.9で、深刻度は重大と評価されています。ベクターには「スコープが変更される」と含まれており、脆弱なコンポーネントの外側にも影響が及びうる想定です。機密性・完全性・可用性への影響は、いずれも高と見積もられています。
SQLインジェクションは、入力の扱いに不備があると、データベースへの問い合わせの意図が書き換えられてしまう種類の脆弱性です。今回は、その結果としてコード実行まで到達しうる点が重く見られています。
公開日は2026年10月27日で、情報はAdobeのセキュリティ情報（APSB26-162）として出ています。
攻撃の流れ
-
1
低権限で接続
ネットワーク経由でAdobe Campaign Classicに、権限の低いアカウントでログインします。
-
2
入力処理の不備
SQLの扱いに不備がある箇所に、意図を変える入力が渡されます。
-
3
コード実行
現在のユーザーの権限で、任意のコードが動きます。
-
4
影響が拡大
データの閲覧・改ざんやサービス停止など、周辺の環境にも被害が及びえます。
どう悪用されるか
悪用にはログインできるアカウントが必要ですが、求められる権限は低いもので足ります。ネットワーク経由で攻撃でき、複雑な条件はなく、被害者側の操作も要りません。
成功した場合、現在のユーザーの権限でコードが実行されます。顧客の連絡先や配信履歴といったデータの漏えい・改ざん、配信基盤の停止に加え、スコープが変更されるため、連携する周辺システムへの影響も見込んでおく必要があります。
今すぐやること
-
1
対象の版かどうかを確認する
Adobe Campaign Classicを使っている環境をすべて洗い出し、7.4.4 build 9402以前が含まれていないかを確認します。開発・検証環境や、委託先が運用する環境も含めます。
-
2
修正版に更新する
Adobeのセキュリティ情報（APSB26-162）で修正版を確認し、まず検証環境で動作を見たうえで本番に適用します。配信スケジュールが詰まっている時期は、停止の影響を事前に調整してください。
-
3
ログインできるアカウントを棚卸しする
使われていないオペレーターのアカウントや、退任・契約終了した担当者のアカウントを無効にします。残すアカウントはパスワードの強度と多要素認証の有無も見直します。
-
4
不審な動きの有無を調べる
更新の前後で、Adobe Campaign Classicのサーバーとデータベースのログに、見慣れない操作や想定外のプロセスの実行がないかを確認します。侵害が疑われる場合は、資格情報の入れ替えも検討してください。
すぐ更新できないとき
すぐに更新できない場合は、Adobe Campaign Classicへの接続元を、社内ネットワークや必要な拠点のIPアドレスに絞ります。あわせて、日常的に使わないアカウントを停止し、権限を最小限にしておきます。いずれも被害の確率を下げる手当てで、修正版の代わりにはなりません。
背景
Adobe Campaign Classicは、メールやSMSの一斉配信、顧客リストの管理、配信シナリオの自動化に使われるマーケティング基盤です。顧客の氏名やメールアドレス、配信履歴といった個人情報を抱えるうえ、社内の顧客データベースや基幹システムと連携していることが多くあります。このため、サーバーが乗っ取られると、配信基盤の問題にとどまらず、連携先のデータにも波及しかねません。
運用の主体がマーケティング部門や外部の委託先であることも多く、情シスの資産台帳から漏れやすい製品です。今回のように認証後に悪用される脆弱性では、更新の優先度が現場で下がりがちですが、運用担当者や委託先に付与したアカウントがそのまま足がかりになります。
よくある質問
Q.ログインが必要なら、外部の攻撃者は関係ないと考えてよいですか。
Q.7.4.4 build 9402より新しい版を使っていれば、何もしなくてよいですか。
まだ分かっていないこと
- 修正版の具体的な版番号や、アップデートの適用手順の詳細は、ここでは確認できていません。Adobeのセキュリティ情報（APSB26-162）を参照してください。
- 実際の攻撃で悪用されているか、攻撃コードが出回っているかは、現時点で公表されていません。ベンダーの告知や関係機関の情報を継続して確認する必要があります。
- Adobeがホストするサービス型の環境が影響を受けるかどうかは、分かっていません。該当する場合はAdobeの案内で確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Adobe | Adobe Campaign Classic |
7.4.4 build 9402 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Adobe Campaign Classic (ACC) is affected by an Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability that could result in arbitrary code execution in the context of the current user. A low-privileged attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web adobe.com
- web nvd.nist.gov
- web github.com