Adobe Campaign Classic: osm kritických chyb, tři umožňují spuštění kódu na serv…

Co se stalo

Společnost Adobe vydala 27. října 2026 bezpečnostní bulletin APSB26-162 pro Adobe Campaign Classic (ACC), platformu pro řízení marketingových kampaní, hromadných e-mailů a zákaznických databází. Aktualizace opravuje osm zranitelností a Adobe všechny označil jako kritické.

Podle Adobe mohou chyby vést ke spuštění libovolného kódu, obejití bezpečnostních funkcí a získání vyšších oprávnění. Mezi opravenými chybami jsou čtyři chyby typu SQL injection, vložení kódu, vložení příkazů operačního systému, chybná kontrola oprávnění a jedna chyba typu reflected XSS.

Adobe uvádí, že neví o žádném zneužití těchto chyb v praxi. Chyby CVE-2026-104351, CVE-2026-104353, CVE-2026-105780 a CVE-2026-105781 nejsou v katalogu CISA KEV a evropská databáze zranitelností EUVD agentury ENISA je nevede jako zneužívané. Adobe dal aktualizaci prioritu 2 a doporučuje aktualizovat na nejnovější verzi. O den později o opravách informoval také portál The Hacker News.

Proč je to nebezpečné

Nejzávažnější jsou tři chyby, které podle Adobe umožňují spustit na serveru libovolný kód: CVE-2026-104351, CVE-2026-104353 a CVE-2026-105780. Kód by běžel s oprávněními aktuálního uživatele. Hodnocení CVSS předpokládá vysoký dopad na důvěrnost, integritu i dostupnost. Tyto chyby vyžadují přihlášení, stačí ale účet s nízkými oprávněními. Útok probíhá po síti a nevyžaduje žádnou akci uživatele.

Zvlášť nebezpečná je CVE-2026-105781, chyba typu SQL injection, která podle hodnocení Adobe přihlášení vůbec nevyžaduje. Představte si formulář, do kterého místo jména napíšete pokyn pro databázi a systém ho poslušně provede. Podle popisu v záznamu CVE, který zveřejnil Adobe, může útočník spouštět libovolné SQL příkazy a získat vyšší přístup nebo kontrolu nad účtem či relací oběti. Stejný popis zmiňuje i možné spuštění kódu, bulletin ale jako dopad uvádí obejití bezpečnostní funkce.

CVSS je stupnice závažnosti od 0 do 10. Adobe chybě CVE-2026-105781 v záznamu CVE přidělil 10,0 (CVSS 3.1), v samotném bulletinu u ní uvádí 9,8. Chyby se spuštěním kódu mají od Adobe 9,9. Vše patří do nejvyšší kategorie „kritická“.

EPSS odhaduje pravděpodobnost, že chybu někdo zneužije v příštích 30 dnech. K 28. říjnu 2026 je nejvyšší u CVE-2026-104353, a to 1,3 %, u dalších tří zmíněných chyb kolem 0,5 %. Katalog CISA KEV, seznam americké agentury CISA s potvrzeně zneužívanými chybami, je neobsahuje. Nízká čísla ale neznamenají, že lze opravu odkládat.

Koho se to týká

Podle Adobe jsou zranitelné tyto verze:

Adobe Campaign Classic v7: 7.4.4 build 9402 a starší, pro Windows i Linux

Campaign Classic používají hlavně větší firmy, e-shopy a marketingové agentury pro hromadné e-maily, SMS kampaně a správu zákaznických dat. Běží buď na vlastních serverech firmy, nebo v prostředí, které spravuje Adobe. Část komponent bývá dostupná z internetu, například sledování prokliků, webové formuláře nebo přístup pro konzoli operátorů.

Pokud Campaign Classic nepoužíváte, týká se vás to nanejvýš nepřímo, například přes agenturu, která v tomto systému zpracovává vaše zákazníky. Bulletin APSB26-162 jiné produkty rodiny Adobe Campaign neuvádí. Podle The Hacker News vydal Adobe zároveň samostatnou opravu pro Adobe Connect, ta ale s touto zranitelností nesouvisí.

Jak zjistit, zda jste zasaženi

Verzi a číslo buildu zjistíte několika způsoby, které na serveru nic nemění:

V klientské konzoli Campaign Classic otevřete nabídku Help > About a podívejte se na číslo buildu.
Na aplikačním serveru spusťte pod uživatelem služby Campaign (na Linuxu obvykle neolane) příkaz nlserver pdump. Na začátku výpisu je verze a build.
Testovací adresa /r/test na serveru Campaign vrátí krátkou odpověď XML, ve které atribut build obsahuje číslo buildu.

nlserver pdump

curl -s https://campaign.vase-firma.cz/r/test

Pokud je build 9402 nebo nižší, jste zranitelní. Build 9403 obsahuje opravu. Pokud vám instanci provozuje Adobe nebo partner, vyžádejte si písemné potvrzení, na jakém buildu běží.

Jak to opravit

Opravená verze je Adobe Campaign Classic v7 7.4.4 build 9403 pro Windows i Linux. Adobe doporučuje aktualizovat na nejnovější verzi. Dočasné řešení bez aktualizace výrobce neuvádí.

Zmapujte všechny instance a jejich build, včetně testovacích a pomocných serverů, například pro sledování prokliků.
Začněte servery dostupnými z internetu, protože CVE-2026-105781 nevyžaduje přihlášení.
Před aktualizací zazálohujte databázi a konfigurační soubory a naplánujte servisní okno.
Postupujte podle release notes a instalačních pokynů Adobe k buildu 9403, ideálně nejprve na testovacím prostředí.
Po aktualizaci serveru aktualizujte i klientské konzole operátorů a ověřte build příkazem nlserver pdump.
U instancí ve správě Adobe kontaktujte podporu Adobe a vyžádejte si termín nasazení opravy.

Než opravu nasadíte, omezte přístup ke konzoli a webovým službám Campaign jen na VPN nebo známé IP adresy. Zkontrolujte seznam operátorů a zrušte nepotřebné účty, protože několik chyb lze zneužít s běžným účtem. Jde o obecná opatření, ne o oficiální řešení Adobe.

Co když už jste mohli být napadeni

Adobe nezveřejnil žádné indikátory kompromitace a o zneužití neví. Pokud byl ale váš server dostupný z internetu, vyplatí se prověřit:

webové logy a logy nlserver, zda v nich nejsou neobvyklé požadavky, chyby databáze nebo množství neúspěšných přihlášení
nové nebo neznámé účty operátorů a nečekané změny oprávnění
workflowy, skripty a šablony, které nikdo z vašeho týmu neměnil
neznámé soubory a procesy spuštěné pod uživatelem služby Campaign a neobvyklá odchozí spojení
nečekané exporty zákaznických dat

Pokud najdete něco podezřelého, odpojte server od sítě, logy nemažte a přizvěte odborníka na řešení incidentů. Při úniku osobních údajů můžete mít podle GDPR povinnost nahlásit incident dozorovému úřadu do 72 hodin.

Zdroje

Články sestavuje AI agent z veřejných zdrojů (výrobci, CISA, ENISA, NVD, NÚKIB, SK-CERT) a čísla verzí i CVE proti nim automaticky ověřuje. Před zásahem do produkce si postup vždy ověřte v bulletinu výrobce.

Adobe Campaign Classic: osm kritických chyb, tři umožňují spuštění kódu na serveru