Des failles de sécurité ont récemment été corrigées dans Adobe Campaign Classic (ACC). D’après les informations communiquées par le NCSC, Adobe a mis en place des correctifs qui visent notamment deux vulnérabilités majeures : un problème d’autorisation au cœur du mécanisme de contrôle d’accès, et une injection SQL permettant l’exécution de requêtes non autorisées. Le niveau d’impact est jugé élevé, avec un risque pouvant être exploité sans interaction utilisateur.
Dans cet article, nous faisons le point sur ce qui a été corrigé, pourquoi cela concerne particulièrement les déploiements on-premise ou hybrides, et quelles actions sont recommandées pour réduire rapidement le risque.
Ce que révèle l’avis : deux vulnérabilités ciblées
L’avis NCSC-2026-0273 décrit deux vulnérabilités traitées par Adobe dans Adobe Campaign Classic. Leur point commun : elles peuvent être exploitées sans qu’un utilisateur doive interagir avec l’attaquant.
Autorisation incorrecte dans le mécanisme central
La première vulnérabilité concerne une Incorrect Authorization dans les mécanismes d’autorisation fondamentaux d’ACC. Concrètement, l’avis indique qu’un attaquant pourrait exécuter du code arbitraire en contournant les contrôles de permission prévus. Autrement dit, l’attaquant peut mener des actions en dehors des droits auxquels il devrait être limité.
Sur le plan pratique, ce type de faille est particulièrement sensible, car le contrôle d’accès est une brique essentielle de la sécurité applicative. Si ce contrôle est affaibli, la surface d’attaque se transforme rapidement en voie d’accès à des actions plus graves.
Injection SQL permettant des requêtes non autorisées
La deuxième vulnérabilité est une SQL injection. Selon l’avis, l’exploitation pourrait permettre à un attaquant d’exécuter des requêtes non autorisées, de lire des fichiers du système et d’accéder à des informations sensibles en mémoire.
Cette classe de problème est connue pour ses impacts potentiellement étendus : elle peut compromettre la confidentialité (données système, informations sensibles) et parfois aussi la cohérence ou la disponibilité, selon la configuration et la manière dont l’application interagit avec sa base de données.
Pourquoi le risque est particulièrement important en on-premise
Adobe indique que les failles ont été corrigées pour la version cloud de Campaign Classic. Par conséquent, l’information est surtout pertinente pour les organisations qui utilisent Adobe Campaign Classic en déploiement complet on-premise, ou dans des architectures hybrides.
Autrement dit : si vous hébergez ACC chez vous (ou si une partie du périmètre reste non cloud), vous devez considérer que vos environnements peuvent être concernés tant que les mises à jour ne sont pas appliquées.
Le message clé est le suivant : ne présumez pas qu’une correction dans le cloud rend automatiquement votre installation locale “équivalente”. Vérifiez la version et le statut de correction de vos composants.
Niveaux d’impact : une sévérité annoncée comme élevée
L’avis NCSC-2026-0273 mentionne une possibilité d’exploitation jugée “medium” et un dommage (“damage”) estimé “high”. De plus, la plus haute base CVSS indiquée atteint 10.0, ce qui reflète une sévérité critique du point de vue des systèmes affectés.
Les catégories CWE citées dans l’avis confirment la nature des problèmes :
- CWE-863 pour l’autorisation incorrecte
- CWE-89 pour l’injection SQL
Enfin, les identifiants CVE associés aux vulnérabilités mentionnées sont CVE-2026-48449 et CVE-2026-48448. Ces références servent en général à aligner la gestion des correctifs et les vérifications de sécurité (inventaire des versions, contrôles d’exposition, exigences de conformité).
Ce que signifie “sans interaction utilisateur”
Un point qui mérite d’être souligné : l’avis indique que l’exploitation des vulnérabilités peut se faire sans interaction utilisateur. Cela veut dire que l’attaquant ne dépend pas du clic d’un employé, ni d’une action visible dans l’interface pour déclencher l’effet.
Dans un contexte d’attaque, ce facteur peut réduire le temps nécessaire à l’exploitation et augmente l’importance de la rapidité de remédiation, notamment si l’application est exposée ou accessible via des canaux réseau.
Que faire maintenant : appliquer les mises à jour Adobe
La réponse principale proposée par l’avis est simple : Adobe a publié des mises à jour pour corriger les vulnérabilités dans Adobe Campaign Classic. Les organisations concernées sont invitées à consulter les références fournies par Adobe afin d’identifier la procédure exacte, les composants concernés et les versions ciblées.
Comme bonnes pratiques de remédiation, vous pouvez structurer votre action en trois étapes.
1) Identifier vos environnements potentiellement affectés
Commencez par dresser un inventaire : quelles instances d’ACC sont en cours d’exécution, quel est le mode de déploiement (on-premise complet, hybride, connecté à des composants internes), et quelles versions sont installées.
2) Planifier l’application des correctifs
Ensuite, planifiez l’installation des mises à jour issues d’Adobe en tenant compte de vos contraintes opérationnelles. L’objectif est de réduire la fenêtre de vulnérabilité, d’autant plus que l’impact est jugé élevé.
3) Vérifier l’alignement après correctif
Une fois la mise à jour appliquée, procédez à une validation fonctionnelle et, si vous en avez la capacité, à des contrôles de sécurité visant à confirmer que les comportements à risque sont bien éliminés.
Les détails de validation dépendent de votre architecture et de votre politique interne, mais l’idée est de ne pas s’arrêter à l’installation : assurez-vous que l’environnement est réellement corrigé.
Réduire le risque au-delà du patch
La correction logicielle reste la priorité, mais vous pouvez aussi réduire la probabilité d’exploitation pendant la période de mise en œuvre. Sans entrer dans des détails non fournis par l’avis, l’approche de base consiste à :
- Limiter l’exposition réseau de vos interfaces liées à Adobe Campaign Classic
- Contrôler strictement les accès et les permissions associées aux comptes applicatifs et administratifs
- Renforcer la surveillance des activités inhabituelles autour des endpoints et des requêtes
Ces mesures ne remplacent pas les correctifs, mais elles contribuent à diminuer le risque pendant que la remédiation est en cours.
Conclusion : corriger rapidement Adobe Campaign Classic
Les correctifs publiés par Adobe pour Adobe Campaign Classic répondent à des vulnérabilités de nature critique, notamment une autorisation incorrecte et une injection SQL, avec une sévérité maximale annoncée et un impact global élevé. Même si la version cloud est indiquée comme corrigée, les environnements on-premise et hybrides restent au cœur du sujet.
Votre meilleur levier est d’identifier vos instances concernées et d’appliquer les mises à jour Adobe sans délai, tout en effectuant une vérification post-déploiement. Agir rapidement vous aide à réduire la fenêtre d’exposition et à protéger vos systèmes et vos données.
Source: https://advisories.ncsc.nl/csaf/v2/2026/ncsc-2026-0273.json