Adobe corrige oito falhas críticas no Campaign Classic que permitem execução de código

A Adobe publicou uma atualização de segurança para o Campaign Classic que encerra oito vulnerabilidades críticas. As mais graves permitem a um atacante executar código arbitrário no servidor, contornar os controlos de segurança ou escalar privilégios dentro da plataforma de marketing. Uma nona vulnerabilidade crítica, no Adobe Connect, foi corrigida no mesmo ciclo de atualizações.

O que foi corrigido

As oito vulnerabilidades do Campaign Classic têm uma pontuação CVSS superior a 9.0:

• CVE-2026-104351 (CVSS 9.9): injeção de código que leva à execução arbitrária de código
• CVE-2026-104353 (CVSS 9.9): injeção de comandos do sistema operativo que leva à execução arbitrária de código
• CVE-2026-105780 (CVSS 9.9): autorização incorreta que leva à execução arbitrária de código
• CVE-2026-105489 (CVSS 9.9): injeção SQL que permite contornar funcionalidades de segurança
• CVE-2026-105781 (CVSS 9.8): injeção SQL que permite contornar funcionalidades de segurança
• CVE-2026-104350 (CVSS 9.3): cross-site scripting refletido que leva à escalada de privilégios
• CVE-2026-104354 (CVSS 9.1): injeção SQL que permite contornar funcionalidades de segurança
• CVE-2026-105779 (CVSS 9.1): injeção SQL que permite contornar funcionalidades de segurança

As falhas afetam o Adobe Campaign Classic 7.4.4 build 9402 e versões anteriores, tanto em Windows como em Linux. A correção está incluída no build 9403 da versão 7.4.4.

A Adobe resolveu também a CVE-2026-48360 (CVSS 9.6), uma vulnerabilidade de injeção de código no Adobe Connect Desktop e Mobile que pode resultar em execução arbitrária de código. As versões corrigidas são:

• Adobe Connect Desktop para Windows: 2026.9.61
• Adobe Connect Desktop para macOS (Apple Silicon): 2026.10.66
• Adobe Connect Desktop para macOS (Intel): 2026.10.170
• Adobe Connect Mobile para Android: 4.5

A Adobe afirma que, à data da publicação, não tem conhecimento de exploração ativa de nenhuma destas vulnerabilidades.

Porque é que importa

O Campaign Classic é uma plataforma de automatização de marketing. Guarda registos de clientes, dados de consentimento e conteúdos de campanhas, e está normalmente integrado com sistemas CRM, de comércio eletrónico e data warehouses. Uma falha de execução de código no servidor não é, por isso, apenas um problema da equipa de marketing: abre um caminho para grandes volumes de dados pessoais e para os sistemas ligados por trás.

Quatro das oito vulnerabilidades são injeções SQL. Várias falhas de injeção no mesmo produto costumam indicar que a base de código contém várias entradas não validadas, pelo que é prudente assumir que os atacantes vão analisar rapidamente as alterações do patch. A ausência de exploração conhecida hoje não é motivo para adiar a atualização.

O Adobe Connect tem um perfil de risco diferente: execução de código do lado do cliente, nos portáteis e telemóveis dos colaboradores. Num cenário de phishing, basta uma ligação de reunião ou um ficheiro malicioso para transformar uma aplicação de videoconferência num vetor de acesso inicial.

O que fazer

1. Atualize o Campaign Classic para 7.4.4 build 9403 em todas as instâncias, incluindo os servidores de staging e de recuperação de desastres, que são frequentemente esquecidos.
2. Atualize os clientes Adobe Connect para as versões indicadas e distribua-os através da ferramenta de gestão de endpoints, sem depender de que os utilizadores o façam por iniciativa própria.
3. Verifique a exposição. As consolas e os endpoints web do Campaign Classic não devem estar acessíveis a partir da internet. Se estiverem, restrinja o acesso por VPN ou lista de IPs permitidos enquanto aplica o patch.
4. Reveja os registos dos servidores Campaign Classic à procura de erros SQL invulgares, comandos de sistema inesperados ou contas de administrador criadas perto da data de publicação.
5. Inventarie as plataformas de marketing geridas por terceiros. Muitas organizações operam estes sistemas através de agências ou parceiros. Confirme quem é responsável pela aplicação dos patches.

Falhas como estas raramente são exploradas no primeiro dia, mas são exatamente o tipo de problema que fica meses por corrigir num servidor interno. A verificação periódica de vulnerabilidades, tanto nos ativos expostos à internet como nos internos, é a forma como a nossa equipa deteta builds desatualizados do Campaign Classic e de software empresarial semelhante antes de um atacante o fazer.