Trzy podatności pozwalają na wykonanie dowolnego kodu. Zagrożone są lokalne instalacje Windows i Linux.
W świecie bezpieczeństwa IT nie każda podatność wymaga natychmiastowego przerwania planowanego cyklu aktualizacji. Są jednak przypadki, w których odkładanie patchowania staje się niepotrzebnym ryzykiem. Najnowsza aktualizacja bezpieczeństwa dla Adobe Campaign Classic zdecydowanie należy do tej kategorii. Adobe oznaczyło biuletyn APSB26-134 najwyższym poziomem ważności – Priority 1 – a wszystkie trzy opisane w nim podatności otrzymały maksymalny wynik CVSS 10.0.
Problem jest szczególnie istotny dla organizacji wykorzystujących Adobe Campaign Classic w modelu on-premises. Luki dotyczą zarówno środowisk Windows, jak i Linux, a ich wykorzystanie może prowadzić do wykonania dowolnego kodu na serwerze. Adobe wydało już poprawkę ACC v7 7.4.4 build 9401, która usuwa opisane problemy. W przypadku środowisk hostowanych przez Adobe sytuacja wygląda inaczej – producent informuje, iż zostały one już zabezpieczone i nie wymagają działania ze strony klientów.
Trzy podatności Adobe z wynikiem CVSS 10
W najnowszym biuletynie Adobe opisano trzy podatności: CVE-2026-76193, CVE-2026-76195 oraz CVE-2026-76197. Dwie z nich dotyczą OS Command Injection (CWE-78), czyli niewłaściwego neutralizowania specjalnych elementów wykorzystywanych w poleceniach systemu operacyjnego. Trzecia to Server-Side Request Forgery – SSRF (CWE-918).
OS Command Injection – szczególnie niebezpieczny scenariusz
Dwie podatności związane z OS Command Injection są szczególnie niepokojące z punktu widzenia bezpieczeństwa infrastruktury. Tego rodzaju błędy powstają, gdy aplikacja wykorzystuje dane kontrolowane przez użytkownika lub pochodzące z zewnętrznego źródła do budowania polecenia systemowego, nie zapewniając adekwatnego filtrowania i neutralizacji znaków specjalnych.
Jeżeli atakujący jest w stanie wpłynąć na takie dane, może doprowadzić do wykonania poleceń systemu operacyjnego zamiast zamierzonej przez aplikację operacji. W praktyce konsekwencje zależą od uprawnień procesu, pod którym działają komponenty Adobe Campaign Classic. Przy odpowiednio wysokich uprawnieniach przejęcie procesu może oznaczać zdobycie kontroli nad znaczną częścią systemu.
Dane opublikowane dla CVE-2026-76195 wskazują na możliwość wykonania dowolnego kodu w kontekście bieżącego użytkownika i brak konieczności jego interakcji. Podatność ma wektor sieciowy, niską złożoność ataku i została oceniona przez Adobe na CVSS 10.0 Critical.
Z punktu widzenia administratora bezpieczeństwa oznacza to, iż nie należy traktować tej aktualizacji jako typowego patcha aplikacyjnego. o ile serwer Adobe Campaign Classic jest dostępny z sieci, jego podatność powinna być rozpatrywana jako potencjalny wektor początkowego dostępu do infrastruktury.
SSRF może być czymś więcej niż „tylko” dostępem do wewnętrznej sieci
Trzecia z najnowszych podatności – CVE-2026-76193 – dotyczy SSRF, czyli Server-Side Request Forgery. Klasyczny atak SSRF polega na zmuszeniu podatnej aplikacji do wykonania żądania sieciowego w imieniu atakującego. Jest to szczególnie niebezpieczne w środowiskach, gdzie serwer aplikacyjny ma dostęp do zasobów nieosiągalnych bezpośrednio z Internetu.
W przypadku Adobe Campaign Classic konsekwencje są jednak poważniejsze. Adobe sklasyfikowało tę podatność jako umożliwiającą arbitrary code execution, czyli wykonanie dowolnego kodu, i przyznało jej CVSS 10.0.
Z perspektywy architektury bezpieczeństwa oznacza to, iż potencjalny atak nie powinien być analizowany wyłącznie na poziomie samego serwera Campaign. Należy również uwzględnić jego połączenia z bazami danych, systemami plików, usługami wewnętrznymi, systemami uwierzytelniania, API oraz innymi komponentami infrastruktury.
Jeżeli serwer aplikacyjny zostanie przejęty, atakujący może próbować wykorzystać jego uprzywilejowaną pozycję sieciową do dalszego rozpoznania środowiska. Skutki podatności mogą zatem wykraczać poza pojedynczą instalację Adobe Campaign Classic.
Kogo dotyczy problem?
Najważniejsze ograniczenie zakresu opisane przez Adobe dotyczy sposobu wdrożenia. APSB26-134 obejmuje w pełni lokalne instalacje Adobe Campaign Classic oraz lokalne komponenty wdrożeń hybrydowych. Podatne są wersje ACC v7 7.4.4 build 9400 i wcześniejsze, zarówno na Windows, jak i Linux. Poprawioną wersją jest 7.4.4 build 9401.
Nie oznacza to jednak, iż wszystkie organizacje używające Adobe Campaign powinny wykonywać takie same działania. Klienci korzystający z instancji hostowanych przez Adobe nie muszą instalować poprawki samodzielnie – Adobe informuje, iż środowiska te zostały już zremediowane. Zupełnie inaczej wygląda sytuacja w przypadku infrastruktury utrzymywanej samodzielnie.
Szczególnej uwagi wymagają środowiska hybrydowe. W takim rozwiązaniu fakt, iż część usług jest zarządzana przez Adobe, nie oznacza automatycznie, iż cała instalacja jest poza zakresem podatności. Adobe wyraźnie wskazuje, iż biuletyn obejmuje również on-premises components of hybrid deployments.
To nie jest pojedynczy incydent
Istotny jest również szerszy kontekst. Adobe Campaign Classic otrzymywał w 2026 roku kolejne aktualizacje bezpieczeństwa oznaczone Priority 1, dotyczące m.in. podatności umożliwiających wykonanie dowolnego kodu. W sierpniu Adobe opublikowało kilka kolejnych biuletynów dla tego produktu.
Przykładowo wcześniejszy biuletyn APSB26-120 z 3 sierpnia 2026 r. obejmował trzy podatności z CVSS 10.0: SSRF, template injection oraz SQL Injection. Wszystkie mogły prowadzić do wykonania dowolnego kodu.
To ważna informacja dla zespołów odpowiedzialnych za zarządzanie podatnościami. o ile organizacja traktuje kolejne poprawki Adobe Campaign jako niezależne, pojedyncze zdarzenia, może przeoczyć fakt, iż produkt stał się w ostatnim czasie częstym celem prac związanych z bezpieczeństwem i wymaga szczególnej uwagi w procesie patch management.
Co należy zrobić?
Pierwszym krokiem powinno być ustalenie, czy w organizacji znajduje się on-premises Adobe Campaign Classic oraz jaka dokładnie wersja i build są uruchomione. Następnie należy zweryfikować, czy instalacja znajduje się na poziomie ACC v7 7.4.4 build 9401 lub nowszym. o ile wykorzystywany jest build 9400 lub wcześniejszy, system trzeba traktować jako podatny.
Sama aktualizacja powinna być oczywiście przeprowadzona zgodnie z procedurą utrzymania danego środowiska, z uwzględnieniem kopii zapasowych, testów oraz zależności pomiędzy komponentami Campaign Classic. W środowiskach produkcyjnych warto również zweryfikować po aktualizacji logi aplikacyjne, połączenia sieciowe oraz nietypowe procesy uruchamiane przez komponenty Adobe Campaign.
Równolegle zespoły SOC powinny rozważyć wyszukanie oznak potencjalnej próby wykorzystania podatności. Szczególnie interesujące mogą być nietypowe żądania kierowane do publicznie dostępnych komponentów Campaign, nieoczekiwane połączenia wychodzące z serwera aplikacyjnego, próby dostępu do wewnętrznych usług oraz podejrzane procesy potomne uruchamiane przez komponenty aplikacji.
Warto jednak podkreślić, iż Adobe na dzień publikacji biuletynu nie posiadało informacji o aktywnym wykorzystaniu opisanych podatności w środowisku rzeczywistym. Nie jest to jednak powód do odkładania aktualizacji. Przy CVSS 10.0 i możliwościach obejmujących wykonanie dowolnego kodu brak znanych exploitów oznacza jedynie, iż nie ma w tej chwili potwierdzonej informacji o wykorzystaniu – nie, iż ryzyko jest niskie.
