Adobe Campaign Classicの脆弱性CVE-2026-48286
Adobeの2026年6月30日の告知APSB26-69によると、Adobe Campaign Classicの誤った認可の脆弱性CVE-2026-48286は、任意のコード実行に至りうる［1］。Adobeは、この脆弱性の悪用を認識していないとした［1］。Adobeはリリースノートで、修正版Build 9397をオンプレミスとハイブリッドの導入で非推奨とし、Build 9398以降へのできるだけ早い更新を勧めている［3］。
脆弱性の内容
AdobeはCVEレコードで、任意のコード実行は現在のユーザーの権限で起こりうると説明した［4］。悪用に利用者の操作は要らず、スコープは変更される［4］。
| 項目 | 値 | 資料 |
|---|---|---|
| CWE | CWE-863（Incorrect Authorization） | ［1］ |
| 深刻度（Adobe） | Critical | ［1］ |
| 優先度（Adobe） | 1 | ［1］ |
| CVSS 3.1の基本値（Adobe） | 10.0 | ［1］ |
| CVSSのベクトル（Adobe） | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H | ［1］ |
| リスク（HKCERT） | Medium Risk（影響はRemote Code Execution） | ［11］ |
| リスク（MS-ISAC。ColdFusionと合わせた勧告の評価） | 大・中規模の政府機関と企業はHIGH、小規模の政府機関と企業はMEDIUM、家庭の利用者はLOW | ［10］ |
Adobeは、ColdFusionのセキュリティ情報APSB26-68もAPSB26-69と同じ日に公開した［2］。APSB26-68が扱うCVEに、CVE-2026-48286は含まれない［2］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Adobe | APSB26-69とCVEレコードを公開し、Campaign Classic v7のBuild 9397を出した | ［1、3、4］ |
| 2026年 | CISA（ADP） | CVEレコードにSSVCの評価を付けた | ［4］ |
| 2026年 | MS-ISAC | Adobe製品の勧告2026-066を出した | ［10］ |
| 2026年 | JPCERT/CC | Weekly Reportで「複数のアドビ製品に脆弱性」を取り上げ、関連文書にAPSB26-69を挙げた | ［6］ |
| 2026年 | Adobe | APSB26-69のページを更新した | ［1］ |
| 2026年 | NIST | NVDの記録を分析済み（Analyzed）として更新した | ［5］ |
対象の製品と版
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| Adobe Campaign Classic ACC v7（Windows、Linux） | 7.4.3 build 9396以前 | 7.4.3 build 9397 | ［1］ |
APSB26-69が当てはまるのは、オンプレミスのAdobe Campaignのインスタンスだけである［1］。完全なオンプレミスの導入と、ハイブリッドの導入のオンプレミスの構成要素がこれに含まれる［1］。Adobeは、Adobeがホストするインスタンスは既に修正済みで、対応は要らないとした［1］。
悪用の状況
CVEレコードに付いたCISA（ADP）のSSVCの評価は、悪用（Exploitation）がnone、自動化の可否（Automatable）がyes、技術的な影響（Technical Impact）がtotalだった［4］。NVDの記録には、CISAの既知の悪用された脆弱性（KEV）カタログへの追加を示す項目が無い［5］。
Center for Internet SecurityのMS-ISACは、ColdFusionと合わせた勧告2026-066で、これらの脆弱性が悪用されたという報告は現在無いとした［10］。
修正と回避策
Adobeは利用者に、インストールした製品を最新版に更新するよう勧めた［1］。
Campaign Classic v7のリリースノートによると、Build 9397はセキュリティの修正を含み、それまでのCampaign Classic v7の版に置き換わる［3］。Build 9397では、webForm.jspがクライアントから送られたctxパラメータを既定で無視するようになった［3］。この動作はdisableCtxInWebFormパラメータで制御し、既定の値はtrueである［3］。ctxパラメータを渡すwebFormの要求は設定ファイルで一時的に元の動作に戻せるが、Adobeはこの使い方を段階的にやめるよう求めている［3］。
JPCERTコーディネーションセンター（JPCERT/CC）は、製品を修正済みのバージョンに更新すれば、この問題は解決するとした［6］。MS-ISACは、脆弱なシステムにAdobeの更新を適切な試験の後すぐに適用するよう勧めた［10］。
未公表の事項
- 脆弱性のある機能・エンドポイントと、攻撃の前提条件
- 脆弱性の発見者・報告者
- APSB26-69の8月11日の更新の内容
- Build 9397のctxパラメータの変更とCVE-2026-48286との関係
出典
当事者
- ［1］Adobe Inc.『Security update available for Adobe Campaign Classic | APSB26-69』（2026年6月30日公開、2026年8月11日更新）
- ［2］Adobe Inc.『Security update available for Adobe ColdFusion | APSB26-68』（2026年6月30日公開、2026年7月13日更新）
- ［3］Adobe Inc.『Latest Release | Adobe Campaign』（2026年6月30日公開、2026年10月15日更新）
公的機関
- ［4］CVE Program『CVE-2026-48286』（2026年6月30日公開、2026年8月27日更新）
- ［5］National Institute of Standards and Technology『CVE-2026-48286』（2026年6月30日公開、2026年10月25日更新）
- ［6］一般社団法人JPCERTコーディネーションセンター『JPCERT/CC WEEKLY REPORT 2026-07-08』（2026年7月8日公開）
- ［10］Center for Internet Security, Inc.『Multiple Vulnerabilities in Adobe Products Could Allow for Arbitrary Code Execution』（2026年7月1日公開）
- ［11］Hong Kong Computer Emergency Response Team Coordination Centre『Adobe Monthly Security Update (June 2026)』（2026年6月10日公開、2026年7月8日更新）
更新記録
- 2026年7月2日：公開した。
- 2026年7月8日：JPCERT/CCのWeekly Report 2026-07-08号（出典6）とHKCERTの告知の7月8日の更新版（出典11）を加え、「脆弱性の内容」「時系列」「修正と回避策」を改めた。
- 2026年7月13日：AdobeのColdFusionのセキュリティ情報APSB26-68の7月13日の更新版（出典2）を加え、「脆弱性の内容」を改めた。
- 2026年8月11日：Adobeのセキュリティ情報APSB26-69の8月11日の更新（出典1）を「時系列」と「未公表の事項」に加えた。
- 2026年8月27日：CVE ProgramのCVEレコードの8月27日の更新版（出典4）を加え、「脆弱性の内容」と「悪用の状況」を改めた。
- 2026年10月15日：Adobeのリリースノートの10月15日の更新版（出典3）で、Build 9397の非推奨とBuild 9398以降の推奨をリードに加え、「修正と回避策」を改めた。
- 2026年10月25日：NISTのNVDの記録の10月25日の更新版（出典5）を加え、「時系列」と「悪用の状況」を改めた。