27 октября 2026 года Adobe опубликовала обновление безопасности APSB26-162, закрывающее сразу восемь критических уязвимостей в Adobe Campaign Classic — платформе автоматизации маркетинга, широко используемой крупными организациями. Все восемь уязвимостей получили оценки CVSS от 9.1 до 9.9 и позволяют выполнять произвольный код, обходить механизмы безопасности или повышать привилегии. Затронуты версии ACC v7 7.4.4 build 9402 и более ранние на Windows и Linux. Исправление доступно в build 9403. Одновременно Adobe устранила критическую уязвимость в Adobe Connect. Случаев эксплуатации в дикой природе, по заявлению Adobe, не зафиксировано.
Детали уязвимостей Campaign Classic
Восемь уязвимостей охватывают четыре различных класса, что указывает на системные проблемы в нескольких компонентах продукта:
Инъекции кода и команд ОС (выполнение произвольного кода):
- CVE-2026-104351 (CVSS 9.9) — инъекция кода (CWE-94), требует низких привилегий, сетевой вектор атаки
- CVE-2026-104353 (CVSS 9.9) — инъекция команд ОС (CWE-78), требует низких привилегий, сетевой вектор атаки
Некорректная авторизация (выполнение произвольного кода):
- CVE-2026-105780 (CVSS 9.9) — ошибка авторизации (CWE-863), требует низких привилегий, сетевой вектор атаки
SQL-инъекции (обход механизмов безопасности):
- CVE-2026-105489 (CVSS 9.9) — SQL-инъекция (CWE-89)
- CVE-2026-105781 (CVSS 9.8) — SQL-инъекция (CWE-89), не требует привилегий
- CVE-2026-104354 (CVSS 9.1) — SQL-инъекция (CWE-89)
- CVE-2026-105779 (CVSS 9.1) — SQL-инъекция (CWE-89)
Межсайтовый скриптинг (повышение привилегий):
- CVE-2026-104350 (CVSS 9.3) — отражённый XSS (CWE-79)
Приоритизация: не только по CVSS
Три уязвимости с максимальной оценкой 9.9 (CVE-2026-104351, CVE-2026-104353, CVE-2026-105780) требуют наличия низких привилегий для эксплуатации. При этом CVE-2026-105781 с оценкой 9.8 не требует привилегий вовсе — согласно CVSS-вектору, опубликованному Adobe (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Все четыре уязвимости используют сетевой вектор атаки. Это означает, что при приоритизации патчей стоит учитывать не только абсолютное значение CVSS, но и требования к привилегиям: CVE-2026-105781 может представлять большую практическую опасность для экземпляров Campaign Classic, доступных из сети, именно потому что атакующему не нужна аутентификация.
Уязвимость в Adobe Connect
В тот же день Adobe опубликовала бюллетень APSB26-182, устраняющий критическую уязвимость CVE-2026-48360 (CVSS 9.6) в Adobe Connect Desktop и Mobile. Это уязвимость инъекции кода (CWE-94), позволяющая выполнить произвольный код. Затронуты:
- Adobe Connect Desktop для Windows — версии 2026.8.51 и ниже
- Adobe Connect Desktop для macOS Silicon — версии 2026.08.45 и ниже
- Adobe Connect Desktop для macOS Intel — версии 2026.01.39 и ниже
- Adobe Connect Mobile для Android — версии 4.4 и ранее
Исправленные версии: Windows 2026.9.61, macOS Silicon 2026.10.66, macOS Intel 2026.10.170, Android 4.5.
Два отдельных направления исправлений
Данное раскрытие затрагивает два принципиально разных направления устранения: серверные инсталляции Campaign Classic на Windows и Linux и клиентское ПО Adobe Connect на Windows, macOS и Android. Администраторам необходимо провести инвентаризацию обоих типов развёртываний — серверного и конечных устройств — чтобы убедиться в полном покрытии исправлениями.
Оценка воздействия
Adobe Campaign Classic используется для управления маркетинговыми кампаниями и обрабатывает значительные объёмы клиентских данных, включая персональную информацию. Комбинация SQL-инъекций с обходом механизмов безопасности и уязвимостей, ведущих к выполнению произвольного кода, создаёт условия для полной компрометации серверной инфраструктуры. Четыре SQL-инъекции из восьми уязвимостей указывают на проблемы с валидацией входных данных в нескольких компонентах продукта.
По заявлению Adobe, компания не располагает сведениями об эксплуатации этих уязвимостей в дикой природе. Независимого подтверждения этого статуса в каталоге CISA KEV или базе NVD на момент публикации не обнаружено.
Рекомендации
- Campaign Classic: обновить до версии ACC v7 7.4.4 build 9403 на всех серверах Windows и Linux
- Adobe Connect: обновить клиентские приложения до исправленных версий на всех платформах (Windows, macOS, Android)
- Провести инвентаризацию всех экземпляров Campaign Classic и установок Adobe Connect в организации — два продукта требуют раздельного обновления
- Для экземпляров Campaign Classic, доступных из внешней сети, приоритизировать устранение CVE-2026-105781 (не требует аутентификации) наряду с тремя уязвимостями с оценкой 9.9
- До применения патчей ограничить сетевой доступ к серверам Campaign Classic средствами межсетевого экранирования
Ранее мы уже освещали критические уязвимости в этом продукте — в частности, уязвимости с оценкой CVSS 10.0 в Campaign Classic и ColdFusion, а также отдельное исправление уязвимости CVSS 10.0 в Campaign Classic. Регулярность появления критических уязвимостей в этом продукте подчёркивает необходимость оперативного управления патчами для организаций, использующих Campaign Classic.
Обновление до build 9403 для Campaign Classic и исправленных версий Adobe Connect — единственная надёжная мера защиты. Учитывая, что все восемь уязвимостей Campaign Classic имеют оценку CVSS выше 9.0 и сетевой вектор атаки, откладывать применение патчей не рекомендуется — особенно для серверов, доступных из интернета.
