Adobe Campaign Classic の認可不備で任意コード実行（CVSS 10.0・7.4.3 build 9398 で修正）

Critical（CVSS 9.8）に分類されるAdobe Adobe Campaign Classic (ACC) v7。7.4.3 build 9397 以前が該当。Windows 版・Linux 版とも対象。の脆弱性です。Adobe Campaign Classic（ACC）に不正な認可（Incorrect Authorization）の脆弱性があり、現在のユーザの権限で任意コード実行に至る。Adobe は「悪用に利用者の操作を必要としない（does not require user interaction）」と明記している。 CVSS について、出どころが2つあり値が違うので分けて書く。Adobe（psirt@adobe.com）が付けたのは 10.0 で、ベクタは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H である。NVD（nvd@nist.gov）が付け直したのは 9.8 で、ベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H である。差はスコープ1点、S:C か S:U かだけで、それ以外の8項目は完全に一致している。Adobe は「脆弱なコンポーネントの外側にも影響が及ぶ」と見て S:C を付け、NVD は影響が同一スコープ内にとどまると見て S:U を付けた、という評価の違いである。本サイトは NVD 値の 9.8 を掲載値として採る。ただし報道の多くは Adobe の 10.0 を見出しにしているので、「10.0 と 9.8 のどちらが正しいのか」という混乱が起きやすい。どちらも実在する公式値であり、どちらを採っても Critical であることは変わらない。 該当バージョンは ACC v7 の 7.4.3 build 9397 以前で、Windows 版と Linux 版の両方が対象である。修正は 7.4.3 build 9398 で提供された。Adobe のセキュリティ速報は APSB26-114 で、2026年7月29日に公開されている。同じ速報では CVE-2026-48448（CVSS 8.6・SQLインジェクションによる任意ファイル読み取り）も修正されており、この2件は同一のアップデートで塞がる。 悪用状況について。Adobe は本速報で修正した脆弱性について、実環境での悪用は確認していないとしている。CISA KEV にも本稿の確認時点（2026-08-27・カタログ 2026.08.26）で収載されていない。つまり現時点では「悪用は確認されていないが、認証不要で任意コード実行に至る」という状態である。

対処自体は単純で、7.4.3 build 9398 以降へ上げるだけである。判断が要るのは優先度のほうなので、そこを整理する。 まずバージョンを確認する。Adobe Campaign Classic v7 で、build 9397 以前なら該当する。Windows 版・Linux 版の区別は無く、両方が対象である。build 番号まで見る必要がある点に注意すること。7.4.3 という表記だけでは 9397 と 9398 を区別できないので、「7.4.3 だから最新」という判断は誤りになる。 該当したら 7.4.3 build 9398 以降を適用する。Adobe が推奨する最新リリースがそれより新しければそちらでよい。この1つのアップデートで CVE-2026-48449（認可不備・任意コード実行）と CVE-2026-48448（SQLインジェクションによる任意ファイル読み取り・CVSS 8.6）の両方が塞がるので、2件を別々に計画する必要は無い。 優先度の判断材料を並べる。押し上げる要素は、認証不要（PR:N）かつ利用者操作不要（UI:N）で任意コード実行に至ること、そして Adobe 自身が最大値の 10.0 を付けていることである。押し下げる要素は、本稿の確認時点で実環境での悪用が確認されていないこと（Adobe の見解・KEV 未収載）である。 ここで効くのが露出の評価である。Campaign Classic はマーケティング配信基盤なので、オンプレミス構成では管理コンソールを社内に閉じている環境と、配信トラッキングのためにインターネットに面している環境が混在しやすい。AV:N の脆弱性なので、外部から到達できる面があるかどうかで実質的な危険度が大きく変わる。まず外向きの面を持つインスタンスを特定し、そこから先に上げるのが現実的である。 回避策は公表されていない。Adobe の速報はアップデートの適用を求めており、設定変更で凌ぐ手は示されていない。到達元を制限することは攻撃面の縮小にはなるが、公式の回避策ではない。 なお、CVSS の値について社内で説明する場面があるなら、Adobe の 10.0 と NVD の 9.8 はスコープ評価の差であって、片方が誤りというわけではない、と伝えておくと話が早い。どちらの値でも Critical であり、対処内容は変わらない。

Adobe Adobe Campaign Classic (ACC) v7。7.4.3 build 9397 以前が該当。Windows 版・Linux 版とも対象。 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-48449）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。