アドビが「Campaign Classic」の最大深刻度脆弱性を修正、ユーザー操作なしでのコード実行に懸念

要点

• アドビが企業向けマーケティングツール「Adobe Campaign Classic」の重大な脆弱性を修正。

• 修正されたうち1件は深刻度が最大値の「CVSS 10.0」で、ユーザー操作なしで任意のコード実行が可能。

• 同製品ではデータベース不正操作を招く「SQLインジェクション」によるファイル読み取りの脆弱性も解消。

• 資産管理ツール「Adobe Bridge」においても、特権昇格やコード実行につながる8件の緊急脆弱性を修正。

• 今回報告されたすべての脆弱性について、現時点で実際の攻撃への悪用は確認されていない。

• アドビ（Adobe）は2026年8月1日、同社の企業向けマーケティング自動化ツール「Adobe Campaign Classic（ACC）」と、資産管理ツール「Adobe Bridge」に関するセキュリティアップデートを公開しました。これらのアップデートは、システムを外部から不正に制御される恐れがある複数の重大な脆弱性に対処するものです。アドビは、対象製品のユーザーに対して被害を未然に防ぐために速やかに最新バージョンへ更新するよう呼びかけています。

Adobe Campaign Classicにおける致命的な脆弱性

今回リリースされた情報の中で、最も危険性が高いのが「Adobe Campaign Classic（ACC）」に存在する脆弱性です。

このうち「CVE-2026-48449」は、脆弱性の深刻度を0〜10の数値で評価する共通脆弱性評価システム「CVSS」で最高値の「10.0」を記録しました。アクセス制限の検証不備（不適切な認可）に起因しており、攻撃者が悪用すると、ユーザー操作を必要とせずに、ログイン中のユーザー権限で任意のコードが実行される恐れがあります。

また、データベースに不正入力を流し込む「SQLインジェクション」の脆弱性「CVE-2026-48448」（CVSSスコア：8.6）も解消されました。これを悪用されると、サーバー内の任意のファイルを読み取られる危険があります。

アドビはこれらの脆弱性について、実際の攻撃への悪用は確認していないと説明しています。今回の修正はWindowsおよびLinux向けの「ACC v7」が対象で、対策済みの「7.4.3 build 9398」への更新が推奨されています。

Adobe Bridgeで修正された8件の「緊急」脆弱性

同時に、クリエイティブ資産管理ツール「Adobe Bridge」についても、特権昇格やコード実行を招く恐れのある「緊急（Critical）」評価の脆弱性8件が修正されました。

主な脆弱性の内訳は以下の通りです。

• 不適切な認可（CVE-2026-48396、CVE-2026-48390）: アクセス権限の検証不備（CVSS：8.6）。任意のコード実行や、ユーザー権限を管理者に引き上げる「特権昇格」につながります。
• 信頼できない検索パス（CVE-2026-48395、CVE-2026-48391）: 外部ファイルの読み込み設定の不備（CVSS：8.6 / 8.2）。任意のコード実行を誘発します。
• パストラバーサル（CVE-2026-48374）: ファイルパスの不適切な処理により本来アクセスできないフォルダを参照できる不具合（CVSS：7.8）。任意のコード実行につながります。
• 境界外書き込み（CVE-2026-48392、CVE-2026-48393、CVE-2026-48394）: メモリの許容範囲外へデータが書き込まれるバグ（いずれもCVSS：7.8）。任意のコード実行のリスクがあります。

これらはセキュリティ研究者のKieran（"kaiksi"）氏（5件を報告）および "yjdfy" 氏（3件を報告）によって発見され、アドビに報告されました。

まとめ

今回のアップデートは、企業ネットワークや個人のクリエイティブ制作環境を守る上で非常に重要です。アドビはシステムの安全性を保つため、すべてのユーザーに対して速やかな最新バージョンの適用を推奨しています。