Adobe heeft nieuwe patches uitgebracht voor Adobe Campaign Classic. De update is bedoeld om meerdere kritieke kwetsbaarheden te dichten die, bij succesvolle exploitatie, kunnen zorgen voor code-uitvoering, beveiligingsomzeiling en zelfs privilege-escalatie. Voor organisaties die met Adobe Campaign Classic werken is dit een signaal om niet te wachten.
Volgens Adobe zijn er op het moment van de release geen actieve exploits in het wild bekend. Dat neemt niet weg dat de impact hoog is: de gemelde CVSS-scores liggen voor veel issues tegen of boven de 9.
Wat is er precies gepatcht in Adobe Campaign Classic?
Adobe noemt in totaal acht kwetsbaarheden in Adobe Campaign Classic. Deze hebben verschillende routes naar impact, zoals code-injectie, SQL-injectie en cross-site scripting. In alle gevallen geldt: door de gevonden zwakheden kunnen aanvallers de applicatiebesturing omzeilen of ongewenste code laten uitvoeren.
Overzicht van de acht kwetsbaarheden
- CVE-2026-104351 (CVSS 9.9): code-injectie die kan leiden tot willekeurige code-uitvoering.
- CVE-2026-104353 (CVSS 9.9): OS-code-injectie met vergelijkbare impact (arbitrary code execution).
- CVE-2026-105780 (CVSS 9.9): onjuiste autorisatie die kan bijdragen aan code-uitvoering.
- CVE-2026-105489 (CVSS 9.8): SQL-injectie die kan leiden tot bypass van beveiligingsfuncties.
- CVE-2026-105781 (CVSS 9.8): eveneens SQL-injectie met security feature bypass als gevolg.
- CVE-2026-104350 (CVSS 9.3): reflected cross-site scripting die kan bijdragen aan privilege-escalatie.
- CVE-2026-104354 (CVSS 9.1): SQL-injectie die security features kan omzeilen.
- CVE-2026-105779 (CVSS 9.1): nog een SQL-injectie met security feature bypass.
Welke versies zijn kwetsbaar en wat is de oplossing?
De issues hebben betrekking op Adobe Campaign Classic versie 7.4.4 build 9402 en eerder voor zowel Windows als Linux.
Adobe heeft de kwetsbaarheden opgelost in versie 7.4.4 build 9403. Concreet betekent dit dat de belangrijkste actie voor teams die met Adobe Campaign Classic draaien, is om naar build 9403 te upgraden en daarbij de normale release-procedures te volgen (testen in een niet-productieomgeving waar dat kan, en daarna uitrollen in productie).
Waarom dit serieus is: mogelijke routes voor aanvallers
Deze reeks CVE’s combineert meerdere aanvalsmethoden. Met code-injectie of OS-code-injectie kan een aanvaller controle krijgen over wat er op het systeem gebeurt. Bij SQL-injectie gaat het vaak om het omzeilen of misbruiken van databaselogica, waardoor beveiligingsmechanismen uitgeschakeld kunnen worden of niet meer effectief zijn.
Daarnaast noemt Adobe een autorisatiekwetsbaarheid en een reflected cross-site scripting-issue. In combinatie kan dat betekenen dat een aanvaller niet alleen toegang probeert te krijgen, maar ook paden vindt om rechten op te schalen of beschermende controles te omzeilen.
Als je wilt begrijpen hoe soortgelijke ketens van inputmanipulatie en server-side verwerking in praktijk tot exploit leiden, kan het ook helpen om breder te kijken naar recente injectie- en exploitwaarschuwingen binnen het applicatielandschap. Denk bijvoorbeeld aan exploit-risico’s die in andere omgevingen met “patch nu” signalen terugkomen, zoals bij Node2Shell in Brotli-decoder: patchen nodig.
Ook opgelost: kwetsbaarheid in Adobe Connect
Naast Adobe Campaign Classic lost Adobe ook een kritieke code-injectie op in Adobe Connect Desktop en Mobile. De kwetsbaarheid is aangeduid als CVE-2026-48360 met CVSS 9.6 en kan leiden tot willekeurige code-uitvoering.
Adobe heeft deze issue gefixt in de volgende versies:
- Adobe Connect Desktop
- Windows: versie 2026.9.61
- macOS Silicon: versie 2026.10.66
- macOS Intel: versie 2026.10.170
- Adobe Connect Mobile for Android: versie 4.5
Als jouw organisatie Adobe Connect gebruikt naast Campaign Classic, is het verstandig om deze afhankelijkheid mee te nemen in je patchplanning.
Geen exploits in het wild, maar toch direct actie
Adobe stelt dat het geen kennis heeft over actief misbruik van de genoemde problemen in de praktijk. Toch is dat geen reden om te wachten. Bij kwetsbaarheden met hoge CVSS-scores en scenario’s als code-uitvoering is de “wachttijd” het risico zelf.
Werk daarom met een duidelijke aanpak:
- Check je huidige build van Adobe Campaign Classic en vergelijk die met build 9403.
- Plan een upgrade inclusief validatie van je workflows en integraties.
- Inventariseer of Adobe Connect Desktop/Mobile ook in jouw omgeving draait en update daar eveneens.
- Verifieer logging en toegangscontrole zodat afwijkend gedrag snel zichtbaar wordt.
Praktische checklist voor teams die met Campaign werken
Om de impact voor je organisatie te beperken, kun je de upgrade gestructureerd aanpakken. Hieronder een compacte checklist die aansluit op de risico’s die Adobe beschrijft.
Vóór de update
- Maak een lijst van omgevingen (dev/test/prod) en hun huidige versies van Adobe Campaign Classic.
- Inventariseer externe koppelingen (webportalen, integraties, datafeeds) die mogelijk afhankelijk zijn van specifieke database- en proceslogica.
- Controleer of er al mitigaties of compensating controls zijn, bijvoorbeeld restricties op databasetoegang en inputvalidatie op systeemniveau.
Tijdens en na de update
- Rol build 9403 uit volgens je gebruikelijke changebeheer.
- Test kernscenario’s: campagnes draaien, doelgroepopbouw, triggers en communicatieflow.
- Monitor op fouten of ongebruikelijk gedrag rond web- en databasetoegang.
Conclusie
De update van Adobe Campaign Classic draait om meer dan “een paar fixes”: Adobe adresseert acht kritieke kwetsbaarheden die kunnen uitmonden in code-uitvoering en bypass van beveiliging. Omdat het gaat om een reeks issues met zeer hoge CVSS-scores is snel upgraden naar versie 7.4.4 build 9403 de meest directe stap.
Neem daarnaast de patch voor Adobe Connect mee als dat onderdeel is van je stack. Zo verlaag je het risico dat meerdere componenten samen een aanvalskans vergroten.
Bron: https://thehackernews.com/2026/10/adobe-fixes-8-critical-campaign-classic.html
