Adobe remediază opt vulnerabilități critice în Campaign Classic care permit execuția de cod

Adobe a publicat o actualizare de securitate pentru Campaign Classic care închide opt vulnerabilități critice. Cele mai grave dintre ele permit unui atacator să ruleze cod arbitrar pe server, să ocolească controalele de securitate sau să își escaladeze privilegiile în interiorul platformei de marketing. O a noua vulnerabilitate critică, în Adobe Connect, a fost corectată în același ciclu de actualizări.

Ce a fost remediat

Toate cele opt probleme din Campaign Classic au un scor CVSS peste 9.0:

• CVE-2026-104351 (CVSS 9.9): injecție de cod care duce la execuție arbitrară de cod
• CVE-2026-104353 (CVSS 9.9): injecție de comenzi de sistem de operare care duce la execuție arbitrară de cod
• CVE-2026-105780 (CVSS 9.9): autorizare incorectă care duce la execuție arbitrară de cod
• CVE-2026-105489 (CVSS 9.9): SQL injection care duce la ocolirea funcțiilor de securitate
• CVE-2026-105781 (CVSS 9.8): SQL injection care duce la ocolirea funcțiilor de securitate
• CVE-2026-104350 (CVSS 9.3): cross-site scripting reflectat care duce la escaladarea privilegiilor
• CVE-2026-104354 (CVSS 9.1): SQL injection care duce la ocolirea funcțiilor de securitate
• CVE-2026-105779 (CVSS 9.1): SQL injection care duce la ocolirea funcțiilor de securitate

Vulnerabilitățile afectează Adobe Campaign Classic 7.4.4 build 9402 și versiunile anterioare, atât pe Windows, cât și pe Linux. Remedierea este inclusă în build-ul 9403 al versiunii 7.4.4.

Adobe a rezolvat și CVE-2026-48360 (CVSS 9.6), o vulnerabilitate de injecție de cod în Adobe Connect Desktop și Mobile care poate duce la execuție arbitrară de cod. Versiunile corectate sunt:

• Adobe Connect Desktop pentru Windows: 2026.9.61
• Adobe Connect Desktop pentru macOS (Apple Silicon): 2026.10.66
• Adobe Connect Desktop pentru macOS (Intel): 2026.10.170
• Adobe Connect Mobile pentru Android: 4.5

Adobe declară că, la momentul publicării, nu are cunoștință de exploatarea activă a acestor probleme.

De ce contează

Campaign Classic este o platformă de automatizare a marketingului. Stochează date despre clienți, consimțăminte și conținut de campanii și este de obicei integrată cu sisteme CRM, e-commerce și depozite de date. O vulnerabilitate de execuție de cod pe server nu este, prin urmare, doar o problemă a echipei de marketing: deschide o cale către volume mari de date personale și către sistemele conectate din spate.

Patru dintre cele opt vulnerabilități sunt bug-uri de tip SQL injection. Mai multe probleme de injecție în același produs înseamnă de regulă că baza de cod conține mai multe intrări nevalidate, așa că este rezonabil să presupunem că atacatorii vor analiza rapid modificările introduse de patch. Faptul că astăzi nu există exploatare cunoscută nu este un motiv pentru a amâna actualizarea.

Adobe Connect are un profil de risc diferit: execuție de cod pe partea de client, pe laptopurile și telefoanele angajaților. Într-un scenariu de phishing, un link de întâlnire sau un fișier malițios este suficient pentru a transforma o aplicație de videoconferință într-un vector de acces inițial.

Ce este de făcut

1. Actualizați Campaign Classic la 7.4.4 build 9403 pe fiecare instanță, inclusiv pe serverele de staging și de disaster recovery, care sunt adesea uitate.
2. Actualizați clienții Adobe Connect la versiunile de mai sus și distribuiți-i prin soluția de management al endpoint-urilor, fără a vă baza pe utilizatori.
3. Verificați expunerea. Consolele și endpoint-urile web ale Campaign Classic nu ar trebui să fie accesibile din internetul public. Dacă sunt, restricționați accesul prin VPN sau listă de IP-uri permise până la aplicarea patch-ului.
4. Analizați jurnalele de pe serverele Campaign Classic pentru erori SQL neobișnuite, comenzi de sistem neașteptate sau conturi de administrator create în jurul datei publicării.
5. Inventariați platformele de marketing administrate de terți. Multe organizații operează aceste sisteme prin agenții sau parteneri. Clarificați cine răspunde de aplicarea patch-urilor.

Astfel de vulnerabilități sunt rareori exploatate din prima zi, dar sunt exact genul de probleme care rămân neremediate luni întregi pe un server intern. Scanarea periodică de vulnerabilități a activelor expuse în internet și a celor interne este modul în care echipa noastră depistează build-uri învechite de Campaign Classic și alte aplicații similare folosite în companii înainte să o facă un atacator.