Wprowadzenie do problemu / definicja
Adobe opublikowało poprawki bezpieczeństwa dla Adobe Campaign Classic, usuwające osiem krytycznych podatności o bardzo wysokiej ocenie ryzyka. Luki obejmują błędy typu code injection, OS command injection, SQL injection, reflected XSS oraz nieprawidłową autoryzację. W praktyce oznacza to możliwość zdalnego wykonania kodu, obejścia mechanizmów bezpieczeństwa oraz eskalacji uprawnień w środowiskach wykorzystywanych do automatyzacji kampanii marketingowych i przetwarzania danych klientów.
Problem ma szczególne znaczenie dla organizacji korzystających z wdrożeń on-premise i hybrydowych, gdzie odpowiedzialność za instalację aktualizacji spoczywa na administratorach utrzymujących własną infrastrukturę.
W skrócie
Adobe naprawiło osiem krytycznych podatności w Adobe Campaign Classic v7. Zagrożenie dotyczy wersji 7.4.4 build 9402 i starszych na platformach Windows oraz Linux, a poprawki udostępniono w wersji 7.4.4 build 9403.
- osiem krytycznych luk bezpieczeństwa,
- możliwość wykonania dowolnego kodu i obejścia zabezpieczeń,
- ryzyko eskalacji uprawnień oraz nadużyć w warstwie bazy danych,
- konieczność pilnej aktualizacji i restartu usługi nlserver,
- brak potwierdzonych dowodów aktywnego wykorzystania w chwili publikacji biuletynu.
Kontekst / historia
Adobe Campaign Classic to platforma klasy enterprise wykorzystywana do zarządzania komunikacją marketingową, workflow, segmentacją odbiorców oraz integracją danych. Z perspektywy bezpieczeństwa jest to system o podwyższonym znaczeniu, ponieważ często działa w środowiskach mających dostęp do baz danych, kont uprzywilejowanych, procesów automatyzacji i informacji o klientach.
Najnowszy biuletyn producenta wskazuje, że hostowane przez Adobe instancje zostały już objęte działaniami naprawczymi. Inaczej wygląda sytuacja po stronie klientów utrzymujących środowiska lokalne i hybrydowe, którzy muszą samodzielnie wdrożyć nowy build. Wydanie 7.4.4 build 9403 stało się wersją rekomendowaną, a starszy build 9402 przestał być uznawany za bezpieczny w kontekście ujawnionych luk.
Analiza techniczna
Zestaw załatanych podatności obejmuje osiem błędów krytycznych, z których część otrzymała ocenę CVSS 9.9. Najpoważniejsze problemy dotyczą możliwości wstrzyknięcia kodu lub poleceń systemowych, co w aplikacji serwerowej może otwierać drogę do uruchamiania nieautoryzowanych operacji bezpośrednio na hoście.
Do najistotniejszych numerów CVE należą:
- CVE-2026-104351 – code injection mogący prowadzić do wykonania dowolnego kodu,
- CVE-2026-104353 – OS command injection umożliwiający wykonanie kodu,
- CVE-2026-105780 – błąd nieprawidłowej autoryzacji, który może zostać wykorzystany do wykonania kodu,
- CVE-2026-105489, CVE-2026-105781, CVE-2026-104354 i CVE-2026-105779 – podatności SQL injection skutkujące obejściem zabezpieczeń,
- CVE-2026-104350 – reflected XSS z potencjałem do eskalacji uprawnień.
Wektory CVSS opublikowane przez producenta sugerują, że część błędów może być osiągalna sieciowo, przy niskiej złożoności ataku i bez udziału użytkownika. W kilku scenariuszach wymagany jest jedynie niski poziom uprawnień, co w rozbudowanych środowiskach enterprise nie stanowi istotnej przeszkody dla atakującego. Szczególnie niebezpieczne są przypadki, w których podatność pozwala wyjść poza pierwotny kontekst bezpieczeństwa komponentu.
Istotny z operacyjnego punktu widzenia jest również sposób wdrożenia poprawki. Po aktualizacji do builda 9403 konieczny jest restart procesu nlserver. Bez ponownego uruchomienia usług organizacja może błędnie uznać środowisko za zabezpieczone, mimo że poprawka nie została jeszcze w pełni aktywowana.
Konsekwencje / ryzyko
Ryzyko dla organizacji korzystających z podatnych wersji Adobe Campaign Classic należy uznać za wysokie. Tego typu platformy zwykle operują na dużych zbiorach danych klientów, zawierają logikę workflow i utrzymują integracje z innymi systemami biznesowymi. To sprawia, że skuteczne wykorzystanie podatności może mieć zarówno wymiar techniczny, jak i operacyjny.
- przejęcie kontroli nad aplikacją lub wybranymi komponentami serwera,
- obejście mechanizmów kontroli dostępu,
- odczyt lub modyfikacja danych w bazie,
- eskalacja uprawnień wewnątrz platformy,
- dalszy ruch boczny w infrastrukturze,
- zakłócenie działania kampanii, integracji i procesów operacyjnych.
Szczególnie groźne są scenariusze łączone. Przykładowo SQL injection może posłużyć do pozyskania danych lub obejścia zabezpieczeń, a luki umożliwiające wykonanie kodu mogą następnie doprowadzić do kompromitacji hosta i dalszej penetracji środowiska. W infrastrukturach hybrydowych rośnie również ryzyko naruszenia systemów połączonych z chmurą lub z siecią wewnętrzną organizacji.
Brak potwierdzonego wykorzystania tych błędów w momencie publikacji nie powinien obniżać priorytetu aktualizacji. Po ujawnieniu numerów CVE i zakresu podatności przestępcy często przyspieszają analizę dostępnych informacji, aby przygotować skuteczne metody ataku na niezałatane instancje.
Rekomendacje
Organizacje wykorzystujące Adobe Campaign Classic powinny potraktować tę aktualizację jako działanie pilne. Priorytetem jest szybka identyfikacja wszystkich podatnych instancji oraz potwierdzenie, czy środowisko działa na wersji 7.4.4 build 9402 lub starszej.
- zinwentaryzować wszystkie instancje Adobe Campaign Classic v7 w środowiskach produkcyjnych, testowych i DR,
- potwierdzić wersję oprogramowania i poziom builda,
- zaktualizować system do wersji 7.4.4 build 9403 lub nowszej wspieranej wersji,
- wykonać restart usługi nlserver po wdrożeniu poprawki,
- zweryfikować działanie workflow, integracji i konektorów po aktualizacji.
Warto również wdrożyć działania ograniczające ryzyko wtórne:
- przegląd uprawnień kont aplikacyjnych i administratorskich zgodnie z zasadą najmniejszych uprawnień,
- monitorowanie logów aplikacyjnych, systemowych i bazodanowych pod kątem nietypowych zapytań SQL, błędów autoryzacji oraz prób wykonania nieoczekiwanych poleceń,
- segmentację sieci i ograniczenie dostępu administracyjnego do interfejsów zarządzających,
- weryfikację reguł WAF i mechanizmów detekcji pod kątem wzorców SQL injection, command injection i XSS,
- przegląd kont serwisowych oraz sekretów używanych przez integracje,
- przygotowanie procedury reagowania na incydenty obejmującej analizę hosta, logów aplikacji i aktywności bazodanowej.
Jeżeli aktualizacja nie może zostać wdrożona natychmiast, organizacja powinna ograniczyć ekspozycję interfejsów z sieci niezaufanych, zawęzić listy ACL, zwiększyć poziom telemetrii oraz rozważyć dodatkową izolację komponentów aplikacyjnych i bazodanowych.
Podsumowanie
Adobe Campaign Classic otrzymał pakiet poprawek usuwający osiem krytycznych podatności, które mogą prowadzić do wykonania kodu, obejścia zabezpieczeń i eskalacji uprawnień. Problem dotyczy szczególnie wdrożeń on-premise i hybrydowych opartych o wersję 7.4.4 build 9402 i starsze.
Z perspektywy bezpieczeństwa i ciągłości działania jest to aktualizacja wysokiego priorytetu. Kluczowe działania obejmują szybkie przejście na build 9403 lub nowszy, restart usług oraz wzmożone monitorowanie środowiska pod kątem oznak nadużyć i prób eksploatacji.
Źródła
- Adobe Fixes 8 Critical Campaign Classic Flaws Allowing Code Execution and Security Bypass — https://thehackernews.com/2026/10/adobe-fixes-8-critical-campaign-classic.html
- Security update available for Adobe Campaign Classic | APSB26-162 — https://www.adobe.com/trust/security/products/campaign/apsb26-162.html
- Latest Release | Adobe Campaign — https://experienceleague.adobe.com/en/docs/campaign-classic/using/release-notes/latest-release
- CWE-89: Improper Neutralization of Special Elements used in an SQL Command (’SQL Injection’) — https://cwe.mitre.org/data/definitions/89.html
- CWE-78: Improper Neutralization of Special Elements used in an OS Command (’OS Command Injection’) — https://cwe.mitre.org/data/definitions/78.html