Adobe Campaign Classic: osem kritických chýb, tri umožňujú spustenie kódu na se…

Čo sa stalo

Spoločnosť Adobe vydala 27. októbra 2026 bezpečnostný bulletin APSB26-162 pre Adobe Campaign Classic (ACC), platformu na riadenie marketingových kampaní, hromadných e-mailov a zákazníckych databáz. Aktualizácia opravuje osem zraniteľností a Adobe všetky označil ako kritické.

Podľa Adobe môžu chyby viesť k spusteniu ľubovoľného kódu, obídeniu bezpečnostných funkcií a získaniu vyšších oprávnení. Medzi opravenými chybami sú štyri chyby typu SQL injection, vloženie kódu, vloženie príkazov operačného systému, chybná kontrola oprávnení a jedna chyba typu reflected XSS.

Adobe uvádza, že nevie o žiadnom zneužití týchto chýb v praxi. Chyby CVE-2026-104351, CVE-2026-104353, CVE-2026-105780 a CVE-2026-105781 nie sú v katalógu CISA KEV a európska databáza zraniteľností EUVD agentúry ENISA ich nevedie ako zneužívané. Adobe dal aktualizácii prioritu 2 a odporúča aktualizovať na najnovšiu verziu. O deň neskôr o opravách informoval aj portál The Hacker News.

Prečo je to nebezpečné

Najzávažnejšie sú tri chyby, ktoré podľa Adobe umožňujú spustiť na serveri ľubovoľný kód: CVE-2026-104351, CVE-2026-104353 a CVE-2026-105780. Kód by bežal s oprávneniami aktuálneho používateľa. Hodnotenie CVSS predpokladá vysoký dopad na dôvernosť, integritu aj dostupnosť. Tieto chyby vyžadujú prihlásenie, stačí však účet s nízkymi oprávneniami. Útok ide cez sieť a nevyžaduje žiadnu akciu používateľa.

Osobitne nebezpečná je CVE-2026-105781, chyba typu SQL injection, ktorá podľa hodnotenia Adobe prihlásenie nevyžaduje vôbec. Predstavte si formulár, do ktorého namiesto mena napíšete pokyn pre databázu a systém ho poslušne vykoná. Podľa popisu v zázname CVE, ktorý zverejnil Adobe, môže útočník spúšťať ľubovoľné SQL príkazy a získať vyšší prístup alebo kontrolu nad účtom či reláciou obete. Ten istý popis spomína aj možné spustenie kódu, bulletin však ako dopad uvádza obídenie bezpečnostnej funkcie.

CVSS je stupnica závažnosti od 0 do 10. Adobe chybe CVE-2026-105781 v zázname CVE pridelil 10,0 (CVSS 3.1), v samotnom bulletine pri nej uvádza 9,8. Chyby so spustením kódu majú od Adobe 9,9. Všetko patrí do najvyššej kategórie „kritická“.

EPSS odhaduje pravdepodobnosť, že chybu niekto zneužije v najbližších 30 dňoch. K 28. októbru 2026 je najvyššia pri CVE-2026-104353, a to 1,3 %, pri ďalších troch spomenutých chybách okolo 0,5 %. Katalóg CISA KEV, zoznam americkej agentúry CISA s potvrdene zneužívanými chybami, ich neobsahuje. Nízke čísla však neznamenajú, že opravu možno odkladať.

Koho sa to týka

Podľa Adobe sú zraniteľné tieto verzie:

Adobe Campaign Classic v7: 7.4.4 build 9402 a staršie, pre Windows aj Linux

Campaign Classic používajú najmä väčšie firmy, e-shopy a marketingové agentúry na hromadné e-maily, SMS kampane a správu zákazníckych dát. Beží buď na vlastných serveroch firmy, alebo v prostredí, ktoré spravuje Adobe. Časť komponentov býva dostupná z internetu, napríklad sledovanie kliknutí, webové formuláre či prístup pre konzolu operátorov.

Ak Campaign Classic nepoužívate, týka sa vás to nanajvýš nepriamo, napríklad cez agentúru, ktorá v tomto systéme spracúva vašich zákazníkov. Bulletin APSB26-162 iné produkty rodiny Adobe Campaign neuvádza. Podľa The Hacker News vydal Adobe zároveň samostatnú opravu pre Adobe Connect, tá však s touto zraniteľnosťou nesúvisí.

Ako zistiť, či ste zasiahnutí

Verziu a číslo buildu zistíte niekoľkými spôsobmi, ktoré na serveri nič nemenia:

V klientskej konzole Campaign Classic otvorte ponuku Help > About a pozrite si číslo buildu.
Na aplikačnom serveri spustite pod používateľom služby Campaign (na Linuxe zvyčajne neolane) príkaz nlserver pdump. Na začiatku výpisu je verzia a build.
Testovacia adresa /r/test na serveri Campaign vráti krátku odpoveď XML, v ktorej atribút build obsahuje číslo buildu.

nlserver pdump

curl -s https://campaign.vasa-firma.sk/r/test

Ak je build 9402 alebo nižší, ste zraniteľní. Build 9403 obsahuje opravu. Ak vám inštanciu prevádzkuje Adobe alebo partner, vyžiadajte si písomné potvrdenie, na akom builde beží.

Ako to opraviť

Opravená verzia je Adobe Campaign Classic v7 7.4.4 build 9403 pre Windows aj Linux. Adobe odporúča aktualizovať na najnovšiu verziu. Dočasné riešenie bez aktualizácie výrobca neuvádza.

Zmapujte všetky inštancie a ich build, vrátane testovacích a pomocných serverov, napríklad na sledovanie kliknutí.
Začnite servermi dostupnými z internetu, pretože CVE-2026-105781 nevyžaduje prihlásenie.
Pred aktualizáciou zálohujte databázu a konfiguračné súbory a naplánujte servisné okno.
Postupujte podľa release notes a inštalačných pokynov Adobe k buildu 9403, ideálne najprv na testovacom prostredí.
Po aktualizácii servera aktualizujte aj klientske konzoly operátorov a overte build príkazom nlserver pdump.
Pri inštanciách v správe Adobe kontaktujte podporu Adobe a vyžiadajte si termín nasadenia opravy.

Kým opravu nasadíte, obmedzte prístup ku konzole a webovým službám Campaign len na VPN alebo známe IP adresy. Skontrolujte zoznam operátorov a zrušte nepotrebné účty, keďže viaceré chyby stačí zneužiť s bežným účtom. Ide o všeobecné opatrenia, nie oficiálne riešenie Adobe.

Čo ak už ste mohli byť napadnutí

Adobe nezverejnil žiadne indikátory kompromitácie a o zneužití nevie. Ak však bol váš server dostupný z internetu, oplatí sa preveriť:

webové logy a logy nlserver, či v nich nie sú nezvyčajné požiadavky, chyby databázy alebo množstvo neúspešných prihlásení
nové alebo neznáme účty operátorov a nečakané zmeny oprávnení
workflowy, skripty a šablóny, ktoré nikto z vášho tímu nemenil
neznáme súbory a procesy spustené pod používateľom služby Campaign a nezvyčajné odchádzajúce spojenia
nečakané exporty zákazníckych dát

Ak nájdete niečo podozrivé, server odpojte od siete, logy nemažte a prizvite odborníka na riešenie incidentov. Pri úniku osobných údajov môžete mať podľa GDPR povinnosť nahlásiť incident dozornému orgánu do 72 hodín.

Zdroje

Články zostavuje AI agent z verejných zdrojov (výrobcovia, CISA, ENISA, NVD, SK-CERT, NÚKIB) a čísla verzií aj CVE voči nim automaticky overuje. Pred zásahom do produkcie si postup vždy overte v bulletine výrobcu.

Adobe Campaign Classic: osem kritických chýb, tri umožňujú spustenie kódu na serveri