Adobe Campaign ClassicにSQLインジェクションの脆弱性
Adobe Campaign Classicに、認証なしでネットワーク越しに悪用できるSQLインジェクションの脆弱性が見つかり、CVSS v3は最大の10.0です。7.4.4 build 9402以下を使っている組織が対象で、顧客データを預かるマーケティング基盤だけに、版の確認から始めてください。
急ぎ度: 至急
CVSS v3が10.0で、認証も利用者の操作も要らずネットワーク越しに悪用できる設計のため、実際の悪用が確認されたかどうかにかかわらず、修正版の確認と適用を最優先にすべき案件です。
関係があるか
Adobe Campaign Classic(ACC)を自社で運用している組織が対象です。メール配信や顧客リストの管理に使っている場合は、顧客データの扱いを含めて優先して確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Adobe Campaign Classic | 7.4.4 build 9402以下 | Adobeのセキュリティ情報APSB26-162で確認してください |
確かめ方
- 1社内でACCを導入している環境を洗い出し、それぞれの版とbuild番号を確認します。導入台帳や運用担当者への確認でも構いません。
- 27.4.4 build 9402以下、またはそれより古い版であれば対象です。
- 3ベンダーや委託先がACCを運用している場合は、その環境が対象かどうかと修正版の適用予定を問い合わせます。
何が起きたか
Adobe Campaign Classic(ACC)にSQLインジェクションの脆弱性が見つかりました。悪用されると、データベースに対して攻撃者が選んだSQL文を実行され、現在のユーザーの権限で任意のコードが動くおそれがあります。
分類はCWE-89で、Adobeが2026年10月27日にセキュリティ情報APSB26-162として公表しました。深刻度はcriticalで、CVSS v3は10.0です。
影響を受けるのは7.4.4 build 9402以下です。
攻撃の流れ
-
1
到達
ネットワーク上の攻撃者が、ACCの脆弱な入力経路に認証なしで届く。
-
2
SQLの実行
入力値がSQL文の一部として解釈され、任意のSQL文が実行される。
-
3
権限の拡大
現在のユーザーの権限でコードが動き、アカウントやセッションの掌握につながる。
-
4
被害の発生
顧客データの閲覧・改ざん・消去や、サービス停止が起こりうる。
どう悪用されるか
悪用にはネットワークから脆弱な箇所に届けば足り、認証は要りません。攻撃の難易度は低く、利用者がリンクを開くなどの操作も必要ありません。
さらに、脆弱なコンポーネントの権限を越えて影響が及ぶ（スコープが変わる）と評価されています。機密性・完全性・可用性の影響はいずれも高です。
悪用されると、データベース内の情報の閲覧や書き換え、現在のユーザーの権限での任意コードの実行、アカウントやセッションの乗っ取りが起こりえます。
今すぐやること
-
1
セキュリティ情報を確認する
AdobeのAPSB26-162で、修正版の版番号と適用手順を確認します。
-
2
自社のACCの版を洗い出す
本番・検証・開発のすべてで版とbuild番号を確認し、7.4.4 build 9402以下のものを一覧にします。
-
3
修正版に更新する
対象環境から順に修正版へ更新します。本番を先に、停止時間を調整できる環境はあとに回します。米国政府機関向けの対応期限は、現時点で案内されていません。
-
4
更新までの間に公開範囲を点検する
ACCにインターネットから到達できる経路がないか確認し、不要なものは閉じます。
-
5
更新後に不審な痕跡を調べる
公表日以降のWebサーバーとデータベースのログに、通常と違うリクエストやデータの変更がないかを調べます。
すぐ更新できないとき
ベンダーが示した回避策は確認できていません。更新が遅れる間は、ACCへのネットワーク経路を必要な範囲に絞り、アクセスログの監視を強めてください。ただし、これで脆弱性が消えるわけではなく、あくまで暫定策です。
背景
ACCは、メール配信をはじめとするキャンペーンの実行と、顧客リストの管理を担うマーケティング基盤です。顧客の氏名や連絡先、配信履歴といった情報が1か所のデータベースに集まりやすく、ここを直接読み書きされると、被害は配信の停止にとどまらず、情報漏えいや顧客へのなりすまし配信にまで及びます。
SQLインジェクションは、入力値がSQL文の一部として扱われてしまうことで起こる、Webアプリケーションでは古くから知られた脆弱性です。データベースを持つ製品では、認証が不要な経路に見つかると、そのまま顧客データの危機に直結します。今回も認証なしで到達できると評価されているため、顧客データを預かる部門にも状況を共有しておくと、あとの調整が進めやすくなります。
よくある質問
Q.Adobe Campaignのほかの製品も影響を受けますか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは、公表されていません。Adobeの告知で更新を確認してください。
- 修正版の版番号と、クラウド版などAdobe側が運用する環境での対応状況は、ここでは確認できていません。APSB26-162を参照してください。
- 具体的にどの機能や入力経路が影響を受けるのかは、公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Adobe | Adobe Campaign Classic |
7.4.4 build 9402 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Adobe Campaign Classic (ACC) is affected by an Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary SQL commands, potentially gaining elevated access or control over the victim's account or session. Exploitation of this issue does not require user interaction. Scope is changed.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web adobe.com
- web nvd.nist.gov
- web github.com