Adobe Campaign Classic の OS コマンドインジェクションで任意コード実行（CVSS 9.9）

Critical（CVSS 9.9）に分類されるAdobe Adobe Campaign Classic（ACC）v7 7.4.4 build 9402 以前（Windows / Linux）の脆弱性です。**Adobe Campaign Classic（ACC、マーケティングメール配信の基盤）に OS コマンドインジェクションの欠陥があり、低い権限のユーザーが任意のコードを実行できる。** NVD に載った Adobe（CNA）の記述によれば、利用者の操作は不要で、影響はスコープを越える。CVSS 3.1 は Adobe の評価で **9.9 Critical**（PR:L＝ACC のアカウントが前提、S:C）。 **同じ更新で8件の Critical を修正。** Adobe のセキュリティ情報 APSB26-162（2026年10月27日・優先度2）は、本件のほかにコードインジェクション（CVE-2026-104351）、認可の不備（CVE-2026-105780）、SQL インジェクション4件、反射型 XSS（CVE-2026-104350）を含め、いずれも Critical としている。対象は ACC v7 の 7.4.4 build 9402 以前（Windows 版・Linux 版とも）。 **悪用は確認されていない。** Adobe は本更新で扱った問題の悪用を把握していないとしており、CISA KEV にも収載されていない。NVD の分析状況は Awaiting Analysis。

**ACC v7 を 7.4.4 build 9403 へ更新する（APSB26-162）。** Windows 版・Linux 版とも同じ build で、同時に8件の Critical が塞がる。Adobe は最新版への更新を推奨しており、手順は Experience League の Campaign Classic リリースノートにある。 **影響を受けるかの確認**は、ACC のサーバ（nlserver）の build 番号が 9402 以前かどうかで判断する。オペレーターアカウントを持つ者が攻撃の起点になるので、更新までの間は不要なオペレーターアカウントを止め、管理画面・SOAP の到達元を絞る。 **完了条件**は、全ての ACC インスタンス（マーケティング・ミッドソーシング・実行インスタンスを含む）が 7.4.4 build 9403 以上であることである。

Adobe Adobe Campaign Classic（ACC）v7 7.4.4 build 9402 以前（Windows / Linux） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-104353）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。