概要

Adobeは、マーケティング自動化ツール「Campaign Classic」に存在する、CVSSスコアが満点となる10.0の最深刻な脆弱性CVE-2026-48449を修正するセキュリティアップデートを公開した。この脆弱性は不正な認可(improper authorization)に起因するもので、攻撃者はユーザーの操作を一切必要とせず、現在のユーザーコンテキストで任意のコードを実行できる可能性がある。同時に、SQLインジェクションにより任意のファイル読み取りを許す脆弱性CVE-2026-48448(CVSSスコア8.6)も修正された。Adobeは、両脆弱性についていずれも現時点で実際の悪用は確認されていないとしている。

技術的な詳細

修正対象となるのはAdobe Campaign Classic v7で、Windows版・Linux版ともにビルド7.4.3 build 9398が対象となる。CVE-2026-48449は権限管理の不備によりユーザー操作なしでリモートからのコード実行につながる点が特に深刻視されており、CVSS基本値の理論上の上限である10.0という異例の評価となった。もう一方のCVE-2026-48448はSQLインジェクションに分類される脆弱性で、悪用されるとサーバー上の任意のファイルを読み取られる恐れがある。

関連する修正

同時期に、Adobeは画像・アセット管理ツール「Adobe Bridge」についても8件の重大な脆弱性(CVSSスコア7.8〜8.6)を修正している。これらはパストラバーサル、範囲外書き込み、信頼されない検索パスの利用などが原因で、権限昇格や任意コード実行につながる可能性があるとされる。これらの脆弱性はセキュリティ研究者らによって発見・報告された。

今後の対応

Adobeは、現時点でCampaign ClassicおよびBridgeの脆弱性が実際の攻撃で悪用された形跡は確認していないとしつつも、影響を受ける組織に対してできるだけ早くセキュリティアップデートを適用するよう推奨している。CVSS10.0という最高評価の脆弱性がユーザー操作なしで悪用可能である以上、パッチ未適用の環境は攻撃者にとって魅力的な標的となりうるため、迅速な対応が求められる。