L’update di Adobe Campaign Classic risolve otto vulnerabilità critiche
Adobe Campaign Classic ha ricevuto un security update per otto vulnerabilità critiche che interessano la versione 7.4.4 build 9402 e precedenti su Windows e Linux. Adobe ha corretto i problemi nella versione 7.4.4 build 9403. Lo sfruttamento riuscito potrebbe consentire arbitrary code execution, ossia permettere a un attaccante di far eseguire al sistema interessato comandi o software, nonché di aggirare le funzioni di sicurezza o ottenere privilegi più elevati.
Tre delle vulnerabilità hanno una valutazione Common Vulnerability Scoring System (CVSS) di 9,9 su 10. CVE-2026-104351 è una vulnerabilità di code injection che potrebbe causare arbitrary code execution. La code injection si verifica quando un sistema tratta input non attendibili come istruzioni da eseguire. CVE-2026-104353 è una vulnerabilità di code injection nel sistema operativo con la stessa possibile conseguenza. CVE-2026-105780 è un problema di autorizzazione errata: il software potrebbe non verificare correttamente se una persona è autorizzata a eseguire un’azione, con il possibile risultato di arbitrary code execution.
Quattro delle restanti vulnerabilità di Campaign Classic sono vulnerabilità di SQL injection. La SQL injection comporta che input appositamente preparati vengano interpretati come comandi per il database anziché come normali dati. CVE-2026-105489 ha un punteggio CVSS di 9,9, mentre CVE-2026-105781 ha una valutazione di 9,8. CVE-2026-104354 e CVE-2026-105779 hanno entrambe un punteggio di 9,1. Adobe afferma che lo sfruttamento di uno qualsiasi di questi quattro problemi potrebbe consentire un security feature bypass.
L’ottava vulnerabilità di Campaign Classic, CVE-2026-104350, è una vulnerabilità di reflected cross-site scripting con valutazione 9,3. Il cross-site scripting consente a contenuti appositamente preparati di essere gestiti da un’interfaccia web in modo tale da provocare l’esecuzione di codice indesiderato nel browser di un utente. In questo caso, Adobe afferma che lo sfruttamento riuscito potrebbe causare privilege escalation, vale a dire ottenere un livello di accesso superiore a quello originariamente concesso a un account o a un utente.
La concentrazione di punteggi CVSS elevati rende importante l’update di Campaign Classic per le aziende e i team IT che utilizzano installazioni interessate. Le possibili conseguenze comprendono l’esecuzione di comandi, errori di autorizzazione, manipolazione del database e accessi con privilegi elevati. Gli amministratori dovrebbero innanzitutto determinare quale build di Campaign Classic è installata su ciascun sistema Windows o Linux, quindi aggiornare alla build 9403 qualsiasi installazione con build 9402 o precedente.
Adobe ha inoltre risolto una distinta vulnerabilità critica di code injection in Adobe Connect Desktop e Mobile. Identificata come CVE-2026-48360 e valutata 9,6, la vulnerabilità potrebbe causare arbitrary code execution su Windows, macOS e Android. Le release corrette sono Adobe Connect Desktop versione 2026.9.61 per Windows, versione 2026.10.66 per macOS Silicon e versione 2026.10.170 per macOS Intel. Adobe Connect Mobile per Android è stato corretto nella versione 4.5.
È importante selezionare la release corretta di Connect, poiché Adobe indica versioni corrette differenti per Windows, per le due piattaforme di processori macOS e per Android. Utenti e amministratori dovrebbero controllare sia il sistema operativo sia la versione dell’applicazione attualmente installata prima di confermare il completamento di un update. Campaign Classic richiede un upgrade separato alla versione 7.4.4 build 9403.
Adobe ha dichiarato di non essere a conoscenza di alcuno sfruttamento in the wild delle vulnerabilità coperte da questi update. Ciò significa che, al momento della pubblicazione delle correzioni, l’azienda non disponeva di prove note di attacchi reali che utilizzassero queste vulnerabilità, non che le installazioni interessate possano rimanere senza patch in sicurezza. L’azione consigliata è installare la versione più recente disponibile.
Per le organizzazioni che necessitano di supporto nella gestione di sistemi sensibili dal punto di vista della sicurezza, AEU-I offre servizi IT, infrastrutturali e di consulenza con la sicurezza al primo posto. Indipendentemente da chi gestisce l’ambiente, le aziende dovrebbero registrare le build installate, completare gli update pertinenti e verificare successivamente che siano in esecuzione le versioni corrette con patch.