Adobe Campaign Classic に深刻度「Critical」の脆弱性 8 件（APSB26-162、CVE-2026-105781 など）: 認証不要の SQL インジェクションを含み、ACC v7 7.4.4 build 9403 で修正

Adobe は 2026-10-27、マーケティング施策の自動化製品 Adobe Campaign Classic（ACC）のセキュリティ情報 APSB26-162 を公開しました。優先度は 2（3 段階の中位）で、深刻度「Critical」とされた脆弱性 8 件を修正しています。影響を受けるのは ACC v7 の 7.4.4 build 9402 以前（Windows・Linux）で、修正版は 7.4.4 build 9403 です。Adobe は「このセキュリティ情報に含まれる問題が悪用されている事実は把握していない」としています。NVD には同日付で 8 件が登録されていますが、2026-11-02 時点ではどれも NVD 自身の評価は未実施（Awaiting Analysis）で、CVSS は Adobe（CNA）の値です。

8 件の内訳

CVE	種類（CWE）	CVSS v3.1	必要な権限	影響（Adobe の記載）
CVE-2026-105781	SQL インジェクション（CWE-89）	10.0（NVD）	不要	任意の SQL の実行
CVE-2026-104351	コード注入（CWE-94）	9.9	低	任意コード実行
CVE-2026-104353	OS コマンドインジェクション（CWE-78）	9.9	低	任意コード実行
CVE-2026-105780	認可の不備（CWE-863）	9.9	低	任意コード実行
CVE-2026-105489	SQL インジェクション（CWE-89）	9.9	低	任意コード実行（Adobe の表では「セキュリティ機能の回避」）
CVE-2026-104350	反射型クロスサイトスクリプティング（CWE-79）	9.3	不要（利用者の操作が必要）	権限昇格（セッションの乗っ取りなど）
CVE-2026-104354	SQL インジェクション（CWE-89）	9.1	高	任意コード実行
CVE-2026-105779	SQL インジェクション（CWE-89）	9.1	低	セキュリティ機能の回避（読み取りと限定的な書き込み）

• 8 件とも、攻撃元区分は「ネットワーク」、攻撃条件の複雑さは「低」、スコープは「変更あり」（C）です。つまり ACC 自体の権限を越えて、周辺の資産にまで影響が及ぶ評価になっています。
• 認証なしで成立するのは CVE-2026-105781（SQL インジェクション）と、利用者に細工したリンクを開かせる必要がある CVE-2026-104350（反射型 XSS）の 2 件です。残りの 6 件は、低い権限（1 件のみ高い権限）のアカウントが前提です。
• CVE-2026-105781 のスコアは、Adobe のセキュリティ情報では 9.8、NVD では 10.0 と表記が異なります。ベクターは同じ（AV:N／AC:L／PR:N／UI:N／S:C／C:H／I:H／A:H）で、この組み合わせを CVSS v3.1 で計算すると 10.0 になります。Adobe の表記が 9.8 になっている理由は確認できていません。
• 影響の書き方は件によって揺れています。SQL インジェクション 3 件（105489・104354・105781）は「Security feature bypass」と分類されながら、説明文では「任意コード実行」や「任意の SQL の実行」となっています。実際にどこまでの権限が得られるかは、Adobe の公開情報からは判断できません。

悪用の状況

• Adobe は悪用の事実を把握していないとしています。CISA の KEV（悪用が確認された脆弱性のカタログ。2026.10.30 版・1766 件）には、8 件とも載っていません。
• 概念実証コードや攻撃手順の公開は、確認できていません（未確認）。
• EPSS（FIRST、2026-11-01 時点の今後 30 日の悪用確率）は、8 件とも 0.3〜1.3% 台です。最も高いのは CVE-2026-104353 の 1.30%（上位約 30%）で、最も低いのは CVE-2026-105779 の 0.30% です。登録直後の値のため、今後上がる可能性があります。

誰が影響を受けるか

ACC は、メールやメッセージの配信、顧客データの管理、キャンペーンの実行などを担う製品で、多くの場合、顧客の個人情報を保持するデータベースとつながっています。8 件のうち 6 件は低い権限のアカウントがあれば成立する評価のため、委託先や運用担当者に付与したアカウント、あるいは別の手段で奪われたアカウントが起点になる場面が考えられます。ACC を自社で運用している組織（オンプレミス型）が主な対象と考えられますが、Adobe がクラウド版（Adobe が運用する環境）の修正状況をどう扱っているかは、セキュリティ情報に記載がなく未確認です。

severity の根拠

critical を提案します。Adobe 自身が 8 件すべてを Critical とし、うち 1 件は認証不要で CVSS 10.0、さらに 5 件が CVSS 9.9 でコード実行まで至るとされているためです。一方で、悪用の事実と攻撃手法の公開は確認できておらず、修正版が出ています。critical とするのは、認証不要の 10.0 が含まれる点を重く見た判断です。

対応として考えられること

1. 自社で ACC を運用している場合は、バージョンを確認します。7.4.4 build 9402 以前であれば対象です。
2. 7.4.4 build 9403 に更新します（Adobe が案内するリリースノートに従います）。
3. 更新までの間は、ACC の管理画面・ウェブ画面をインターネットに直接公開している場合は、接続元の制限や VPN 経由に絞ります（推定）。
4. 使われていないアカウントや、委託先などに与えた権限を見直し、パスワードを更新します（推定）。
5. ACC が接続しているデータベースのアカウント権限を、必要最小限に絞ります（推定）。
6. ACC のサーバーとデータベースのログで、10 月 27 日以降に不審な SQL、予期しないプロセスの起動、見覚えのないアカウントの操作がないかを確認します（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません（Adobe も把握していないとしています）。
• 概念実証コード・攻撃手順が公開されているかは未確認です。
• 8 件それぞれで、影響を受ける機能・画面・経路は Adobe のセキュリティ情報に書かれておらず、未確認です。
• CVE-2026-105781 のスコアの表記差（9.8 と 10.0）の理由は未確認です。
• クラウド版（Adobe 運用）の修正状況は未確認です。
• 7.4.4 build 9402 より前の別系列（例: v8 系の ACC）が対象かどうかは、セキュリティ情報に記載がなく未確認です。
• NVD 自身の評価は未実施です。CVSS は Adobe（CNA）の値です。