Am 27. Oktober 2026 hat Adobe das Sicherheitsupdate APSB26-162 veröffentlicht, das gleich acht kritische Schwachstellen in Adobe Campaign Classic schließt – einer Marketing-Automatisierungsplattform, die von großen Organisationen weit verbreitet eingesetzt wird. Alle acht Schwachstellen wurden mit CVSS-Scores zwischen 9.1 und 9.9 bewertet und ermöglichen die Ausführung beliebigen Codes, das Umgehen von Sicherheitsmechanismen oder eine Rechteausweitung. Betroffen sind ACC v7 7.4.4 Build 9402 und frühere Versionen unter Windows und Linux. Die Korrektur ist in Build 9403 verfügbar. Gleichzeitig beseitigte Adobe eine kritische Schwachstelle in Adobe Connect. Laut Adobe sind bislang keine Fälle einer Ausnutzung in freier Wildbahn bekannt.
Details zu den Schwachstellen in Campaign Classic
Die acht Schwachstellen fallen in vier unterschiedliche Klassen, was auf systemische Probleme in mehreren Komponenten des Produkts hinweist:
Code- und OS-Befehlsinjektionen (Ausführung beliebigen Codes):
- CVE-2026-104351 (CVSS 9.9) — Code Injection (CWE-94), erfordert geringe Berechtigungen, Netzwerkvektor
- CVE-2026-104353 (CVSS 9.9) — OS Command Injection (CWE-78), erfordert geringe Berechtigungen, Netzwerkvektor
Fehlerhafte Autorisierung (Ausführung beliebigen Codes):
- CVE-2026-105780 (CVSS 9.9) — Autorisierungsfehler (CWE-863), erfordert geringe Berechtigungen, Netzwerkvektor
SQL Injections (Umgehung von Sicherheitsmechanismen):
- CVE-2026-105489 (CVSS 9.9) — SQL Injection (CWE-89)
- CVE-2026-105781 (CVSS 9.8) — SQL Injection (CWE-89), erfordert keine Berechtigungen
- CVE-2026-104354 (CVSS 9.1) — SQL Injection (CWE-89)
- CVE-2026-105779 (CVSS 9.1) — SQL Injection (CWE-89)
Cross-Site Scripting (Rechteausweitung):
- CVE-2026-104350 (CVSS 9.3) — reflektiertes XSS (CWE-79)
Priorisierung: nicht nur nach CVSS
Drei Schwachstellen mit der Höchstbewertung 9.9 (CVE-2026-104351, CVE-2026-104353, CVE-2026-105780) erfordern für eine Ausnutzung geringe Berechtigungen. Gleichzeitig benötigt CVE-2026-105781 mit einem Score von 9.8 überhaupt keine Berechtigungen – gemäß dem von Adobe veröffentlichten CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Alle vier Schwachstellen nutzen einen Netzwerkvektor. Das bedeutet, dass bei der Priorisierung von Patches nicht nur der absolute CVSS-Wert, sondern auch die Berechtigungserfordernisse zu berücksichtigen sind: CVE-2026-105781 kann für aus dem Netzwerk erreichbare Campaign-Classic-Instanzen ein größeres praktisches Risiko darstellen, gerade weil der Angreifer keine Authentifizierung benötigt.
Schwachstelle in Adobe Connect
Am selben Tag veröffentlichte Adobe den Sicherheitshinweis APSB26-182, der die kritische Schwachstelle CVE-2026-48360 (CVSS 9.6) in Adobe Connect Desktop und Mobile behebt. Dabei handelt es sich um eine Code-Injection-Schwachstelle (CWE-94), die die Ausführung beliebigen Codes ermöglicht. Betroffen sind:
- Adobe Connect Desktop für Windows — Version 2026.8.51 und älter
- Adobe Connect Desktop für macOS Silicon — Version 2026.08.45 und älter
- Adobe Connect Desktop für macOS Intel — Version 2026.01.39 und älter
- Adobe Connect Mobile für Android — Version 4.4 und älter
Behobene Versionen: Windows 2026.9.61, macOS Silicon 2026.10.66, macOS Intel 2026.10.170, Android 4.5.
Zwei separate Korrekturrichtungen
Diese Offenlegung betrifft zwei grundsätzlich unterschiedliche Bereiche von Korrekturmaßnahmen: Serverinstallationen von Campaign Classic unter Windows und Linux sowie die Client-Software Adobe Connect unter Windows, macOS und Android. Administratoren müssen eine Bestandsaufnahme beider Bereitstellungstypen – Server und Endgeräte – durchführen, um sicherzustellen, dass die Patches vollständig ausgerollt sind.
Bewertung der Auswirkungen
Adobe Campaign Classic wird für das Management von Marketingkampagnen eingesetzt und verarbeitet große Mengen an Kundendaten, darunter personenbezogene Informationen. Die Kombination aus SQL Injections mit Umgehung von Sicherheitsmechanismen und Schwachstellen, die zur Ausführung beliebigen Codes führen, schafft Voraussetzungen für eine vollständige Kompromittierung der Serverinfrastruktur. Vier SQL Injections unter den acht Schwachstellen deuten auf Probleme bei der Eingabevalidierung in mehreren Komponenten des Produkts hin.
Nach Angaben von Adobe liegen dem Unternehmen keine Informationen über eine Ausnutzung dieser Schwachstellen in freier Wildbahn vor. Eine unabhängige Bestätigung dieses Status im CISA-KEV-Katalog oder in der NVD-Datenbank ließ sich zum Zeitpunkt der Veröffentlichung nicht finden.
Empfehlungen
- Campaign Classic: Update auf ACC v7 7.4.4 Build 9403 auf allen Windows- und Linux-Servern
- Adobe Connect: Aktualisierung der Client-Anwendungen auf allen Plattformen (Windows, macOS, Android) auf die behobenen Versionen
- Bestandsaufnahme aller Campaign-Classic-Instanzen und Adobe-Connect-Installationen in der Organisation durchführen – die beiden Produkte müssen getrennt aktualisiert werden
- Für aus externen Netzen erreichbare Campaign-Classic-Instanzen die Behebung von CVE-2026-105781 (erfordert keine Authentifizierung) zusammen mit den drei Schwachstellen mit dem Score 9.9 priorisieren
- Bis zur Einspielung der Patches den Netzwerkzugriff auf die Campaign-Classic-Server mittels Firewalling einschränken
Zuvor haben wir bereits über kritische Schwachstellen in diesem Produkt berichtet – insbesondere über Schwachstellen mit einem CVSS-Score von 10.0 in Campaign Classic und ColdFusion sowie über ein separates Patch für eine CVSS-10.0-Schwachstelle in Campaign Classic. Die Regelmäßigkeit, mit der in diesem Produkt kritische Schwachstellen auftreten, unterstreicht die Notwendigkeit eines zügigen Patch-Managements für Organisationen, die Campaign Classic einsetzen.
Das Update auf Build 9403 für Campaign Classic und die behobenen Versionen von Adobe Connect ist die einzige verlässliche Schutzmaßnahme. Angesichts der Tatsache, dass alle acht Campaign-Classic-Schwachstellen einen CVSS-Score von über 9.0 und einen Netzwerkvektor aufweisen, ist es nicht empfehlenswert, das Einspielen der Patches aufzuschieben – insbesondere nicht für Server, die aus dem Internet erreichbar sind.
