27 жовтня 2026 року Adobe опублікувала оновлення безпеки APSB26-162, яке закриває відразу вісім критичних вразливостей в Adobe Campaign Classic — платформі автоматизації маркетингу, яку широко використовують великі організації. Усі вісім вразливостей отримали оцінки CVSS від 9.1 до 9.9 і дають змогу виконувати довільний код, обходити механізми безпеки або підвищувати привілеї. Уразливі версії ACC v7 7.4.4 build 9402 і раніші на Windows і Linux. Виправлення доступне в build 9403. Одночасно Adobe усунула критичну вразливість в Adobe Connect. За заявою Adobe, випадків експлуатації в реальних атаках не зафіксовано.
Подробиці вразливостей Campaign Classic
Вісім вразливостей охоплюють чотири різні класи, що вказує на системні проблеми в кількох компонентах продукту:
Ін’єкції коду та команд ОС (виконання довільного коду):
- CVE-2026-104351 (CVSS 9.9) — ін’єкція коду (CWE-94), вимагає низьких привілеїв, мережевий вектор атаки
- CVE-2026-104353 (CVSS 9.9) — ін’єкція команд ОС (CWE-78), вимагає низьких привілеїв, мережевий вектор атаки
Некоректна авторизація (виконання довільного коду):
- CVE-2026-105780 (CVSS 9.9) — помилка авторизації (CWE-863), вимагає низьких привілеїв, мережевий вектор атаки
SQL injection (обхід механізмів безпеки):
- CVE-2026-105489 (CVSS 9.9) — SQL injection (CWE-89)
- CVE-2026-105781 (CVSS 9.8) — SQL injection (CWE-89), не вимагає привілеїв
- CVE-2026-104354 (CVSS 9.1) — SQL injection (CWE-89)
- CVE-2026-105779 (CVSS 9.1) — SQL injection (CWE-89)
Cross-site scripting (підвищення привілеїв):
- CVE-2026-104350 (CVSS 9.3) — відображений XSS (CWE-79)
Пріоритизація: не лише за CVSS
Три вразливості з максимальною оцінкою 9.9 (CVE-2026-104351, CVE-2026-104353, CVE-2026-105780) вимагають наявності низьких привілеїв для експлуатації. Водночас CVE-2026-105781 з оцінкою 9.8 не вимагає жодних привілеїв — згідно з вектором CVSS, опублікованим Adobe (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Усі чотири вразливості мають мережевий вектор атаки. Це означає, що під час пріоритизації патчів варто враховувати не лише абсолютне значення CVSS, а й вимоги до привілеїв: CVE-2026-105781 може становити більшу практичну небезпеку для екземплярів Campaign Classic, доступних із мережі, саме тому, що зловмиснику не потрібна автентифікація.
Вразливість в Adobe Connect
Того ж дня Adobe опублікувала бюлетень APSB26-182, який усуває критичну вразливість CVE-2026-48360 (CVSS 9.6) в Adobe Connect Desktop і Mobile. Це вразливість ін’єкції коду (CWE-94), що дає змогу виконати довільний код. Уразливі:
- Adobe Connect Desktop для Windows — версії 2026.8.51 і нижче
- Adobe Connect Desktop для macOS Silicon — версії 2026.08.45 і нижче
- Adobe Connect Desktop для macOS Intel — версії 2026.01.39 і нижче
- Adobe Connect Mobile для Android — версії 4.4 і раніші
Виправлені версії: Windows 2026.9.61, macOS Silicon 2026.10.66, macOS Intel 2026.10.170, Android 4.5.
Два окремі напрями виправлень
Це розкриття стосується двох принципово різних напрямів усунення: серверних інсталяцій Campaign Classic на Windows і Linux та клієнтського ПЗ Adobe Connect на Windows, macOS і Android. Адміністраторам необхідно провести інвентаризацію обох типів розгортань — серверних і на кінцевих пристроях — щоб упевнитися в повному покритті виправленнями.
Оцінка впливу
Adobe Campaign Classic використовується для керування маркетинговими кампаніями та обробляє значні обсяги клієнтських даних, зокрема персональну інформацію. Комбінація SQL injection з обходом механізмів безпеки та вразливостей, що призводять до виконання довільного коду, створює умови для повної компрометації серверної інфраструктури. Чотири вразливості типу SQL injection із восьми вказують на проблеми з валідацією вхідних даних у кількох компонентах продукту.
За заявою Adobe, компанія не має відомостей про експлуатацію цих вразливостей у реальних атаках. Незалежного підтвердження цього статусу в каталозі CISA KEV або базі NVD на момент публікації не виявлено.
Рекомендації
- Campaign Classic: оновити до версії ACC v7 7.4.4 build 9403 на всіх серверах Windows і Linux
- Adobe Connect: оновити клієнтські застосунки до виправлених версій на всіх платформах (Windows, macOS, Android)
- Провести інвентаризацію всіх екземплярів Campaign Classic і встановлень Adobe Connect в організації — два продукти потребують окремого оновлення
- Для екземплярів Campaign Classic, доступних із зовнішньої мережі, пріоритизувати усунення CVE-2026-105781 (не вимагає автентифікації) поряд із трьома вразливостями з оцінкою 9.9
- До застосування патчів обмежити мережевий доступ до серверів Campaign Classic засобами міжмережевого екранування
Раніше ми вже висвітлювали критичні вразливості в цьому продукті — зокрема, вразливості з оцінкою CVSS 10.0 в Campaign Classic і ColdFusion, а також окреме виправлення вразливості CVSS 10.0 в Campaign Classic. Регулярність появи критичних вразливостей у цьому продукті підкреслює потребу в оперативному керуванні патчами для організацій, які використовують Campaign Classic.
Оновлення до build 9403 для Campaign Classic і виправлених версій Adobe Connect — єдиний надійний захід захисту. З огляду на те, що всі вісім вразливостей Campaign Classic мають оцінку CVSS вище 9.0 і мережевий вектор атаки, відкладати застосування патчів не рекомендується — особливо для серверів, доступних з інтернету.
