Adobe corrige ocho fallos críticos en Campaign Classic que permiten ejecutar código

Adobe ha publicado una actualización de seguridad para Campaign Classic que cierra ocho vulnerabilidades críticas. Las más graves permiten a un atacante ejecutar código arbitrario en el servidor, eludir los controles de seguridad o escalar privilegios dentro de la plataforma de marketing. Una novena vulnerabilidad crítica, en Adobe Connect, se corrigió en el mismo ciclo de actualizaciones.

Qué se corrigió

Las ocho vulnerabilidades de Campaign Classic tienen una puntuación CVSS superior a 9.0:

• CVE-2026-104351 (CVSS 9.9): inyección de código que permite la ejecución arbitraria de código
• CVE-2026-104353 (CVSS 9.9): inyección de comandos del sistema operativo que permite la ejecución arbitraria de código
• CVE-2026-105780 (CVSS 9.9): autorización incorrecta que permite la ejecución arbitraria de código
• CVE-2026-105489 (CVSS 9.9): inyección SQL que permite eludir funciones de seguridad
• CVE-2026-105781 (CVSS 9.8): inyección SQL que permite eludir funciones de seguridad
• CVE-2026-104350 (CVSS 9.3): cross-site scripting reflejado que permite la escalada de privilegios
• CVE-2026-104354 (CVSS 9.1): inyección SQL que permite eludir funciones de seguridad
• CVE-2026-105779 (CVSS 9.1): inyección SQL que permite eludir funciones de seguridad

Los fallos afectan a Adobe Campaign Classic 7.4.4 build 9402 y versiones anteriores, tanto en Windows como en Linux. La corrección está incluida en el build 9403 de la versión 7.4.4.

Adobe también resolvió CVE-2026-48360 (CVSS 9.6), una vulnerabilidad de inyección de código en Adobe Connect Desktop y Mobile que puede derivar en ejecución arbitraria de código. Las versiones corregidas son:

• Adobe Connect Desktop para Windows: 2026.9.61
• Adobe Connect Desktop para macOS (Apple Silicon): 2026.10.66
• Adobe Connect Desktop para macOS (Intel): 2026.10.170
• Adobe Connect Mobile para Android: 4.5

Adobe afirma que, en el momento de la publicación, no tiene constancia de que ninguna de estas vulnerabilidades esté siendo explotada.

Por qué importa

Campaign Classic es una plataforma de automatización de marketing. Almacena registros de clientes, datos de consentimiento y contenido de campañas, y suele estar integrada con sistemas CRM, de comercio electrónico y almacenes de datos. Un fallo de ejecución de código en el servidor no es, por tanto, solo un problema del equipo de marketing: abre un camino hacia grandes volúmenes de datos personales y hacia los sistemas conectados que hay detrás.

Cuatro de las ocho vulnerabilidades son inyecciones SQL. Varios fallos de inyección en un mismo producto suelen indicar que la base de código contiene varias entradas sin sanear, por lo que conviene asumir que los atacantes estudiarán rápidamente los cambios del parche. Que hoy no haya explotación conocida no es motivo para aplazar la actualización.

Adobe Connect presenta un perfil de riesgo distinto: ejecución de código en el lado del cliente, en los portátiles y teléfonos de los empleados. En un escenario de phishing, basta un enlace de reunión o un archivo malicioso para convertir una aplicación de videoconferencia en un vector de acceso inicial.

Qué hacer

1. Actualice Campaign Classic a 7.4.4 build 9403 en todas las instancias, incluidos los servidores de staging y de recuperación ante desastres, que a menudo se olvidan.
2. Actualice los clientes de Adobe Connect a las versiones indicadas y distribúyalos mediante su herramienta de gestión de endpoints, sin depender de que los usuarios lo hagan por su cuenta.
3. Revise la exposición. Las consolas y los endpoints web de Campaign Classic no deberían ser accesibles desde internet. Si lo son, restrinja el acceso mediante VPN o lista de IP permitidas mientras aplica el parche.
4. Revise los registros de los servidores de Campaign Classic en busca de errores SQL inusuales, comandos del sistema inesperados o cuentas de administrador creadas en torno a la fecha de publicación.
5. Inventaríe las plataformas de marketing gestionadas por terceros. Muchas organizaciones operan estos sistemas a través de agencias o socios. Confirme quién es responsable de aplicar los parches.

Fallos como estos rara vez se explotan el primer día, pero son exactamente el tipo de problema que permanece sin parchear durante meses en un servidor interno. El escaneo periódico de vulnerabilidades, tanto de los activos expuestos a internet como de los internos, es la forma en que nuestro equipo detecta builds obsoletos de Campaign Classic y de software empresarial similar antes de que lo haga un atacante.