Adobe hat Sicherheitsupdates veröffentlicht, die die Schwachstelle maximaler Kritikalität CVE-2026-48449 (CVSS 10.0) in der Marketing-Automatisierungsplattform Adobe Campaign Classic (ACC) beheben. Die Schwachstelle ermöglicht die Ausführung beliebigen Codes im Kontext des aktuellen Benutzers, ohne dass irgendeine Interaktion mit ihm erforderlich ist. Parallel dazu hat das Unternehmen eine weitere schwerwiegende Lücke in ACC und acht kritische Schwachstellen in Adobe Bridge korrigiert. Organisationen, die diese Produkte verwenden, müssen die Updates umgehend einspielen – die Patches stehen für Windows und Linux zur Verfügung.
Schwachstellen in Adobe Campaign Classic
Die Hauptbedrohung – CVE-2026-48449 – wird als Fehler einer inkorrekten Autorisierung (Incorrect Authorization) klassifiziert. Die Bewertung CVSS 10.0 von 10.0 steht für den höchstmöglichen Schweregrad: Die Ausnutzung erfordert keine Benutzerinteraktion und führt zur Ausführung beliebigen Codes. Laut Sicherheitsbulletin APSB26-114 liegen Adobe derzeit keine Hinweise auf eine Ausnutzung dieser Schwachstelle in realen Angriffen vor, doch ihre Eigenschaften machen sie zu einem äusserst attraktiven Ziel für Angreifer.
Die zweite behobene Schwachstelle – CVE-2026-48448 (CVSS 8.6) – stellt eine SQL injection dar, die beliebiges Lesen von Dateien aus dem Dateisystem ermöglicht. Zusammen mit der ersten Schwachstelle ergibt sich ein gefährliches Szenario: Ein Angreifer kann sich potenziell zunächst Zugriff auf vertrauliche Daten über Dateilesevorgänge verschaffen und anschliessend eine vollständige Codeausführung erreichen.
Beide Schwachstellen wurden in der Version ACC v7: 7.4.3 build 9398 für Windows und Linux behoben. Einträge in der NVD sind verfügbar für CVE-2026-48449 und CVE-2026-48448.
Acht kritische Schwachstellen in Adobe Bridge
Mit einem separaten Update hat Adobe acht Schwachstellen kritischer Einstufung in Adobe Bridge – einem Tool für das Management digitaler Assets – behoben. Die Schwachstellen umfassen mehrere Klassen und können zur Ausführung beliebigen Codes oder zu einer Privilegienerweiterung führen:
- CVE-2026-48395 (CVSS 8.6) – unsicherer Suchpfad, Ausführung beliebigen Codes
- CVE-2026-48396 (CVSS 8.6) – inkorrekte Autorisierung, Ausführung beliebigen Codes
- CVE-2026-48390 (CVSS 8.6) – inkorrekte Autorisierung, Privilegienerweiterung
- CVE-2026-48391 (CVSS 8.2) – unsicherer Suchpfad, Ausführung beliebigen Codes
- CVE-2026-48374 (CVSS 7.8) – Umgehung des Pfads (path traversal), Ausführung beliebigen Codes
- CVE-2026-48392, CVE-2026-48393, CVE-2026-48394 (CVSS 7.8 jeweils) – Schreiben ausserhalb des Puffers (out-of-bounds write), Ausführung beliebigen Codes
Die Vielfalt der Klassen von Schwachstellen – von Autorisierungsfehlern bis zu Speicherbeschädigungen – weist auf systemische Sicherheitsprobleme in der Codebasis von Bridge hin. Fünf Schwachstellen wurden vom Forscher Kieran (kaiksi) entdeckt, drei von einem Forscher mit dem Pseudonym yjdfy.
Bewertung der Auswirkungen
Adobe Campaign Classic ist eine Unternehmensplattform, die für das Management von Marketingkampagnen, Mailings und Kundendaten eingesetzt wird. Eine Schwachstelle mit einer Bewertung von CVSS 10.0 in einem solchen Produkt stellt aus mehreren Gründen eine besondere Gefahr dar:
- ACC verarbeitet personenbezogene Daten von Kunden, einschliesslich E-Mail-Adressen, Interaktionshistorie und Zielgruppensegmentierung
- Die Plattform ist in andere Systeme der Organisation integriert – eine Kompromittierung von ACC kann als Einstiegspunkt für laterale Bewegung dienen
- Das Fehlen einer notwendigen Benutzerinteraktion senkt die Hürde für eine automatisierte Ausnutzung
Adobe Bridge ist zwar in Bezug auf die verarbeiteten Daten weniger kritisch, jedoch in Kreativabteilungen weit verbreitet und kann als Angriffsvektor auf die Arbeitsstationen von Designern und Content-Managern dienen.
Empfehlungen
- Adobe Campaign Classic: Aktualisieren Sie umgehend auf Version 7.4.3 build 9398. Angesichts der CVSS-Bewertung 10.0 und der fehlenden Notwendigkeit der Benutzerinteraktion sollte dieses Update oberste Priorität haben
- Adobe Bridge: Installieren Sie die im Bulletin APSB26-89 angegebene letzte verfügbare Version
- Prüfen Sie die Zugriffsprotokolle der ACC-Server auf anomale Anfragen, insbesondere auf solche mit Anzeichen von SQL injections
- Stellen Sie sicher, dass die Konten, unter denen ACC ausgeführt wird, nur über die minimal erforderlichen Berechtigungen verfügen – dies begrenzt den Schaden im Falle einer Kompromittierung
Keine der aufgeführten Schwachstellen ist derzeit im CISA-KEV-Katalog enthalten, und Adobe hat bisher keine Fälle einer Ausnutzung festgestellt. Die Veröffentlichung der Details zu einer CVE mit einer Bewertung von 10.0 wird jedoch zwangsläufig die Aufmerksamkeit von Angreifern auf sich ziehen. Administratoren von Adobe-Campaign-Classic-Servern sollten das Update auf Version 7.4.3 build 9398 in den nächsten Stunden einspielen, ohne auf das Auftauchen öffentlicher Exploits zu warten.
