Adobe Campaign Classicに任意コード実行の脆弱性、告知公開
Adobe Campaign Classic（ACC）に、権限の確認が不十分なため任意のコードを実行されるおそれのある脆弱性が見つかりました。7.4.4 build 9402以前を使っている組織が対象です。まず自社の版を確認し、Adobeのセキュリティ告知で修正版を調べて更新計画を立ててください。
急ぎ度: 早めに
CVSS v3が9.9と最高水準で、低い権限のアカウントがあれば遠隔から悪用できる条件ですが、実際の攻撃での悪用を示す情報は見当たらないため、至急ではなく早めの更新を勧めます。
関係があるか
ACCを自社サーバーなどで運用し、メール配信やキャンペーン管理の担当者・委託先に個別のアカウントを発行している組織が当てはまります。アカウントを持つ人が多いほど、攻撃の入口になりうる数も増えます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Adobe Campaign Classic | 7.4.4 build 9402以前 | 修正版の版番号はAdobeのセキュリティ告知APSB26-162で確認してください |
確かめ方
- 1ACCのクライアントコンソールのバージョン情報で、版とビルド番号を確認します。
- 2複数の環境（本番・検証・開発）を運用している場合は、すべてについて版を控えます。
- 37.4.4 build 9402以前に当たる環境があれば、その環境にログインできるアカウントの一覧を出し、低い権限のアカウントが何件あるかを把握します。
何が起きたか
ACCに、操作を許可するかどうかの権限の確認が正しく働かない脆弱性が見つかりました。悪用されると、本来その権限では許されないはずの操作を通じて、サーバー側で任意のコードを実行されるおそれがあります。
分類はCWE-863（不適切な認可）で、CVSS v3は9.9、深刻度はcriticalです。Adobeは2026年10月27日にセキュリティ告知APSB26-162を公開しました。
CVSSのベクターではスコープが変更ありとされています。ACCの権限の範囲にとどまらず、その外側にまで影響が及びうるという評価です。
攻撃の流れ
-
1
低権限で接続
ACCにログインできる低い権限のアカウントを使い、ネットワーク経由で接続します。
-
2
権限確認の不備
本来は許されない操作が、権限の確認をすり抜けて受け付けられます。
-
3
任意コード実行
攻撃者の用意したコードが、ACCを動かしているユーザーの権限で実行されます。
-
4
影響範囲が拡大
機密性・完全性・可用性のすべてに及び、ACCの範囲を超えて被害が広がる可能性があります。
どう悪用されるか
悪用にはACCへ接続できる低い権限のアカウントが必要です。ネットワーク越しに仕掛けられ、複雑な条件は要らず、利用者に何かをクリックさせる必要もありません。ログインできない第三者がそのまま攻撃できるわけではありませんが、一般の担当者や委託先のアカウントが盗まれた場合も、この条件を満たします。
成功すると、ACCを動かしているユーザーの権限で任意のコードが動きます。機密性・完全性・可用性への影響はいずれも高いと評価されており、ACCが扱うデータや配信機能のほか、同じサーバーや隣接する環境にも影響が及ぶ可能性があります。
今すぐやること
-
1
利用中の版を確認する
本番・検証・開発の各環境で、ACCの版とビルド番号を確認し、7.4.4 build 9402以前に当たるものを洗い出します。
-
2
Adobeの告知で修正版を確認する
APSB26-162に記載された修正版と更新手順を読み、対象環境を修正版に更新します。本番へ入れる前に、検証環境で配信やワークフローの動作を確かめておくと安心です。
-
3
低権限アカウントを棚卸しする
不要になったアカウントや、退職者・契約終了した委託先のアカウントを無効にします。残すアカウントは、パスワードの強度と多要素認証の適用を見直します。
-
4
ログを見直す
更新の前後で、ACCサーバーの不審なプロセス起動や、普段使わないアカウントからのアクセスがないかをログで確認します。
すぐ更新できないとき
すぐに更新できない場合は、ACCへ接続できる送信元IPアドレスを管理用ネットワークなどに絞り、低権限アカウントを必要最小限に減らします。ただし、これは攻撃の入口を狭める暫定策で、脆弱性そのものはなくなりません。Adobeの告知に公式の回避策があるかどうかは、告知本文で確認してください。
背景
Adobe Campaign Classicは、顧客データベースをもとにメール・SMS・プッシュ通知などの配信を組み立てて実行するマーケティング基盤です。顧客の連絡先や属性を大量に持ち、配信を自動で動かすため、サーバーの中でも扱う情報が多く、外部へ通信する機能も備えています。
今回の分類であるCWE-863は、ログインの突破ではなく、ログイン後の操作に対する許可判定の誤りです。マーケティング担当・代理店・委託先など、権限の異なる人が同じ基盤を使う製品では、低い権限と高い権限の境目がそのまま防御線になります。この境目が崩れると、一般の担当者のアカウントでも管理者に近い影響を出せてしまいます。
よくある質問
Q.社内ネットワークからしか使えない構成でも更新は必要ですか。
Q.悪用の報告が見当たらないなら、更新を後回しにしてよいでしょうか。
まだ分かっていないこと
- 修正版の版番号と、Adobeが管理するホスト型の環境も対象かどうかは、本稿の時点で把握できていません。Adobeの告知APSB26-162で確認してください。
- 実際の攻撃で悪用されているかどうか、公開された検証コードがあるかどうかは確認できていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Adobe | Adobe Campaign Classic |
7.4.4 build 9402 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Adobe Campaign Classic (ACC) is affected by an Incorrect Authorization vulnerability that could result in arbitrary code execution in the context of the current user. A low-privileged attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web adobe.com
- web nvd.nist.gov
- web github.com