Adobe Campaign Classic-Update schließt acht kritische Schwachstellen
Adobe Campaign Classic hat ein Sicherheitsupdate für acht kritische Schwachstellen erhalten, die Version 7.4.4 Build 9402 und ältere Builds unter Windows und Linux betreffen. Adobe hat die Probleme in Version 7.4.4 Build 9403 behoben. Eine erfolgreiche Ausnutzung könnte arbitrary code execution ermöglichen, sodass ein Angreifer das betroffene System dazu bringen könnte, Befehle oder Software auszuführen. Zudem könnten Sicherheitsfunktionen umgangen oder höhere Berechtigungen erlangt werden.
Drei der Schwachstellen haben im Common Vulnerability Scoring System (CVSS) eine Bewertung von 9,9 von 10 Punkten. CVE-2026-104351 ist eine code injection-Schwachstelle, die zu arbitrary code execution führen könnte. code injection tritt auf, wenn ein System nicht vertrauenswürdige Eingaben als auszuführende Anweisungen behandelt. CVE-2026-104353 ist eine code injection-Schwachstelle im Betriebssystem mit denselben möglichen Folgen. Bei CVE-2026-105780 handelt es sich um eine fehlerhafte Autorisierung. Das bedeutet, dass die Software möglicherweise nicht ordnungsgemäß prüft, ob jemand eine Aktion ausführen darf, was ebenfalls zu arbitrary code execution führen könnte.
Vier der übrigen Schwachstellen in Campaign Classic sind SQL injection-Schwachstellen. Bei SQL injection werden speziell konstruierte Eingaben als Datenbankbefehle statt als gewöhnliche Daten interpretiert. CVE-2026-105489 hat einen CVSS-Wert von 9,9, während CVE-2026-105781 mit 9,8 bewertet ist. CVE-2026-104354 und CVE-2026-105779 haben jeweils einen Wert von 9,1. Laut Adobe könnte die Ausnutzung jeder dieser vier Schwachstellen Sicherheitsfunktionen umgehen.
Die achte Schwachstelle in Campaign Classic, CVE-2026-104350, ist eine mit 9,3 bewertete reflected cross-site scripting-Schwachstelle. cross-site scripting ermöglicht es, präparierte Inhalte von einer Weboberfläche so verarbeiten zu lassen, dass unbeabsichtigter Code im Browser eines Benutzers ausgeführt wird. In diesem Fall könnte eine erfolgreiche Ausnutzung laut Adobe zu privilege escalation führen. Das bedeutet, dass ein Konto oder Benutzer Zugriff über die ursprünglich gewährte Berechtigungsstufe hinaus erhält.
Die Häufung hoher CVSS-Werte macht das Campaign Classic-Update für Unternehmen und IT-Teams wichtig, die betroffene Installationen betreiben. Zu den möglichen Folgen gehören die Ausführung von Befehlen, Fehler bei der Autorisierung, die Manipulation von Datenbanken und erweiterte Zugriffsrechte. Administratoren sollten zunächst feststellen, welcher Campaign Classic-Build auf jedem Windows- oder Linux-System installiert ist, und anschließend alle Installationen mit Build 9402 oder einem älteren Build auf Build 9403 aktualisieren.
Adobe hat außerdem eine separate kritische code injection-Schwachstelle in Adobe Connect Desktop und Mobile behoben. Die als CVE-2026-48360 erfasste und mit 9,6 bewertete Schwachstelle könnte unter Windows, macOS und Android zu arbitrary code execution führen. Die korrigierten Releases sind Adobe Connect Desktop Version 2026.9.61 für Windows, Version 2026.10.66 für macOS Silicon und Version 2026.10.170 für macOS Intel. Adobe Connect Mobile für Android wurde in Version 4.5 korrigiert.
Die Auswahl des richtigen Connect-Releases ist wichtig, da Adobe unterschiedliche korrigierte Versionen für Windows, die beiden macOS-Prozessorplattformen und Android aufführt. Benutzer und Administratoren sollten sowohl das Betriebssystem als auch die aktuell installierte Anwendungsversion prüfen, bevor sie bestätigen, dass ein Update abgeschlossen wurde. Campaign Classic benötigt ein eigenes, separates Upgrade auf Version 7.4.4 Build 9403.
Adobe erklärte, dem Unternehmen sei keine Ausnutzung der durch diese Updates behobenen Schwachstellen in realen Angriffen bekannt. Das bedeutet, dass Adobe zum Zeitpunkt der Veröffentlichung der Korrekturen keine bekannten Hinweise auf reale Angriffe unter Verwendung dieser Schwachstellen hatte. Es bedeutet nicht, dass betroffene Installationen gefahrlos ungepatcht bleiben können. Empfohlen wird, die neueste verfügbare Version zu installieren.
Für Organisationen, die Unterstützung bei der Verwaltung sicherheitskritischer Systeme benötigen, bietet AEU-I Security-first-IT, Infrastruktur und Beratung an. Unabhängig davon, wer die Umgebung verwaltet, sollten Unternehmen die installierten Builds dokumentieren, die erforderlichen Updates durchführen und anschließend überprüfen, ob die gepatchten Versionen ausgeführt werden.