Adobe выпустила обновление для Campaign Classic, закрывающее восемь критических уязвимостей Adobe Campaign с оценкой CVSS до 9,9 из 10. Часть ошибок позволяет выполнить произвольный код на сервере, другие — обойти защитные механизмы или повысить привилегии; для компаний, где платформа участвует в маркетинговых и клиентских коммуникациях, это повод проверить патч-менеджмент без привычного «поставим на следующем окне».
Проблемы затрагивают Adobe Campaign Classic 7.4.4 build 9402 и более ранние сборки для Windows и Linux. Исправления вошли в версию 7.4.4 build 9403, сообщает The Hacker News. Adobe заявила, что ей неизвестно об эксплуатации этих ошибок в реальных атаках, но отсутствие публично подтверждённого инцидента не делает критические CVE менее приоритетными для установки.
Самую высокую оценку — 9,9 — получили сразу четыре дефекта. CVE-2026-104351 связана с внедрением кода и может привести к удалённому выполнению произвольного кода. CVE-2026-104353 описана как внедрение кода уровня операционной системы с тем же потенциальным результатом. Ещё одна проблема, CVE-2026-105780, вызвана некорректной авторизацией и также способна открыть путь к выполнению кода. Четвёртая, CVE-2026-105489, представляет собой SQL-инъекцию, позволяющую обходить защитные функции.
Остальные четыре ошибки не делают бюллетень заметно спокойнее. SQL-инъекция CVE-2026-105781 получила CVSS 9,8 и, по оценке Adobe, тоже может использоваться для обхода механизмов защиты. CVE-2026-104350 с оценкой 9,3 — отражённая XSS-уязвимость, потенциально ведущая к повышению привилегий. Две дополнительные SQL-инъекции — CVE-2026-104354 и CVE-2026-105779 — оценены в 9,1; обе создают риск обхода защитных ограничений.
Набор выглядит особенно неприятно не количеством CVE, а сочетанием классов ошибок. Инъекция кода, слабая авторизация, SQL-инъекции и XSS находятся на разных участках потенциальной цепочки атаки. Злоумышленнику не обязательно использовать все восемь: достаточно одной доступной точки входа и подходящей конфигурации. При этом Campaign Classic обычно работает не в вакууме — он связан с базами данных, сегментацией аудиторий и процессами рассылок. Поэтому последствия успешной атаки могут выходить за пределы одной веб-консоли.
Для команд эксплуатации приоритет здесь понятен: сначала нужно установить build 9403, затем удостовериться, что обновились все узлы, включая резервные и редко используемые инстансы. Полезно отдельно проверить, не остались ли наружу административные интерфейсы, ограничен ли доступ к ним по сети и ведётся ли мониторинг аномальных действий привилегированных учётных записей. Патч устраняет известную причину, но не отменяет необходимость проверить, не было ли подозрительной активности до обновления.
Разработчикам и владельцам платформы стоит также сверить интеграции после установки: крупные обновления систем управления кампаниями нередко затрагивают бизнес-процессы сильнее, чем ожидает служба ИБ. Но откладывать исправление ради идеального окна рискованно: уязвимости Adobe Campaign включают сценарии выполнения кода и обхода контроля доступа, а такие сведения быстро становятся материалом для анализа со стороны исследователей и атакующих.
Одновременно Adobe закрыла критическую уязвимость внедрения кода CVE-2026-48360 в Adobe Connect Desktop и Mobile. Её CVSS-оценка составляет 9,6, а результатом эксплуатации может стать выполнение произвольного кода. Исправленные версии: Adobe Connect Desktop 2026.9.61 для Windows, 2026.10.66 для macOS на Apple Silicon, 2026.10.170 для macOS на Intel и Adobe Connect Mobile 4.5 для Android.
Этот релиз хорошо иллюстрирует неприятную арифметику корпоративного ПО: даже без подтверждённой эксплуатации восемь критических ошибок в одном продукте требуют действий уже на уровне инвентаризации и контроля обновлений. В ближайшие дни ключевым вопросом для администраторов останется не только то, установлены ли патчи, но и смогут ли они доказать, что в инфраструктуре не сохранилась ни одна старая сборка Campaign Classic.
