El 27 de octubre de 2026 Adobe publicó la actualización de seguridad APSB26-162, que corrige de una vez ocho vulnerabilidades críticas en Adobe Campaign Classic, una plataforma de automatización de marketing ampliamente utilizada por grandes organizaciones. Las ocho vulnerabilidades han recibido puntuaciones CVSS de 9.1 a 9.9 y permiten ejecutar código arbitrario, eludir mecanismos de seguridad o escalar privilegios. Se ven afectadas las versiones ACC v7 7.4.4 build 9402 y anteriores en Windows y Linux. La corrección está disponible en el build 9403. Al mismo tiempo, Adobe solucionó una vulnerabilidad crítica en Adobe Connect. Según Adobe, no se han registrado casos de explotación en entornos reales.
Detalles de las vulnerabilidades de Campaign Classic
Las ocho vulnerabilidades abarcan cuatro clases distintas, lo que apunta a problemas sistémicos en varios componentes del producto:
Inyecciones de código y de comandos del sistema operativo (ejecución de código arbitrario):
- CVE-2026-104351 (CVSS 9.9) — code injection (CWE-94), requiere bajos privilegios, vector de ataque de red
- CVE-2026-104353 (CVSS 9.9) — OS command injection (CWE-78), requiere bajos privilegios, vector de ataque de red
Autorización incorrecta (ejecución de código arbitrario):
- CVE-2026-105780 (CVSS 9.9) — error de autorización (CWE-863), requiere bajos privilegios, vector de ataque de red
SQL injection (elusión de mecanismos de seguridad):
- CVE-2026-105489 (CVSS 9.9) — SQL injection (CWE-89)
- CVE-2026-105781 (CVSS 9.8) — SQL injection (CWE-89), no requiere privilegios
- CVE-2026-104354 (CVSS 9.1) — SQL injection (CWE-89)
- CVE-2026-105779 (CVSS 9.1) — SQL injection (CWE-89)
Cross-site scripting (escalada de privilegios):
- CVE-2026-104350 (CVSS 9.3) — XSS reflejado (CWE-79)
Priorización: no solo según CVSS
Tres vulnerabilidades con la puntuación máxima de 9.9 (CVE-2026-104351, CVE-2026-104353, CVE-2026-105780) requieren la presencia de bajos privilegios para su explotación. Al mismo tiempo, CVE-2026-105781, con una puntuación de 9.8, no requiere privilegios en absoluto, según el vector CVSS publicado por Adobe (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Las cuatro vulnerabilidades utilizan un vector de ataque de red. Esto significa que, a la hora de priorizar los parches, debe tenerse en cuenta no solo el valor absoluto de CVSS, sino también los requisitos de privilegios: CVE-2026-105781 puede representar un mayor peligro práctico para las instancias de Campaign Classic accesibles desde la red precisamente porque el atacante no necesita autenticarse.
Vulnerabilidad en Adobe Connect
Ese mismo día, Adobe publicó el boletín APSB26-182, que corrige la vulnerabilidad crítica CVE-2026-48360 (CVSS 9.6) en Adobe Connect Desktop y Mobile. Se trata de una vulnerabilidad de code injection (CWE-94) que permite ejecutar código arbitrario. Se ven afectados:
- Adobe Connect Desktop para Windows — versiones 2026.8.51 y anteriores
- Adobe Connect Desktop para macOS Silicon — versiones 2026.08.45 y anteriores
- Adobe Connect Desktop para macOS Intel — versiones 2026.01.39 y anteriores
- Adobe Connect Mobile para Android — versiones 4.4 y anteriores
Versiones corregidas: Windows 2026.9.61, macOS Silicon 2026.10.66, macOS Intel 2026.10.170, Android 4.5.
Dos líneas de corrección separadas
Esta divulgación afecta a dos frentes de corrección fundamentalmente distintos: las instalaciones servidoras de Campaign Classic en Windows y Linux y el software cliente Adobe Connect en Windows, macOS y Android. Los administradores deben realizar un inventario de ambos tipos de despliegue —servidores y dispositivos finales— para asegurarse de que el parcheado ofrece una cobertura completa.
Evaluación del impacto
Adobe Campaign Classic se utiliza para gestionar campañas de marketing y procesa grandes volúmenes de datos de clientes, incluida información personal. La combinación de SQL injection con elusión de mecanismos de seguridad y vulnerabilidades que conducen a la ejecución de código arbitrario crea condiciones para una posible compromisión completa de la infraestructura de servidores. Cuatro SQL injection de entre las ocho vulnerabilidades señalan problemas de validación de datos de entrada en varios componentes del producto.
Según Adobe, la compañía no dispone de información sobre explotación de estas vulnerabilidades en entornos reales. En el momento de la publicación, no se ha encontrado confirmación independiente de este estado en el catálogo CISA KEV ni en la base NVD.
Recomendaciones
- Campaign Classic: actualizar a la versión ACC v7 7.4.4 build 9403 en todos los servidores Windows y Linux
- Adobe Connect: actualizar las aplicaciones cliente a las versiones corregidas en todas las plataformas (Windows, macOS, Android)
- Realizar un inventario de todas las instancias de Campaign Classic y de las instalaciones de Adobe Connect en la organización: ambos productos requieren una actualización por separado
- Para las instancias de Campaign Classic accesibles desde la red externa, priorizar la corrección de CVE-2026-105781 (no requiere autenticación) junto con las tres vulnerabilidades con puntuación 9.9
- Hasta aplicar los parches, limitar el acceso de red a los servidores Campaign Classic mediante firewalls
Ya hemos tratado anteriormente vulnerabilidades críticas en este producto —en particular, las vulnerabilidades con puntuación CVSS 10.0 en Campaign Classic y ColdFusion, así como la corrección independiente de una vulnerabilidad CVSS 10.0 en Campaign Classic. La frecuencia con la que aparecen vulnerabilidades críticas en este producto subraya la necesidad de una gestión ágil de parches para las organizaciones que utilizan Campaign Classic.
Actualizar al build 9403 para Campaign Classic y a las versiones corregidas de Adobe Connect es la única medida de protección fiable. Teniendo en cuenta que las ocho vulnerabilidades de Campaign Classic tienen una puntuación CVSS superior a 9.0 y un vector de ataque de red, no se recomienda aplazar la aplicación de los parches, especialmente en el caso de servidores accesibles desde Internet.
