Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-76193, CVE-2026-76195, CVE-2026-76197 |
| Źródło alertu | GitHub Advisory - podatność krytyczna (CNA: Adobe PSIRT) |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-08-25 |
| Producent | Adobe |
| Produkt | Adobe Campaign Classic (ACC) |
| Biuletyn producenta | APSB26-134 |
| CVSS Score | 10.0 (Krytyczny) — każda z trzech luk |
| EPSS Score | Brak danych (CVE opublikowane 2026-08-25) |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Adobe opublikowało biuletyn APSB26-134 opisujący trzy niezależne luki w Adobe Campaign Classic. Wszystkie trzy mają maksymalną ocenę CVSS 10.0 i wszystkie prowadzą do wykonania dowolnego kodu w kontekście bieżącego użytkownika. Żadna nie wymaga interakcji użytkownika, a w każdej zmienia się zakres podatności (scope changed) — skutek wykracza poza sam komponent, w którym siedzi błąd.
| CVE | Klasa podatności |
|---|---|
| CVE-2026-76193 | Server-Side Request Forgery (SSRF) prowadzące do wykonania kodu |
| CVE-2026-76195 | Wstrzyknięcie polecenia systemowego (OS Command Injection, CWE-78) |
| CVE-2026-76197 | Wstrzyknięcie polecenia systemowego (OS Command Injection, CWE-78) |
Adobe Campaign Classic to platforma automatyzacji marketingu — obsługuje kampanie e-mail, SMS i push, a jej bazy zawierają dane osobowe klientów, historię kontaktów oraz zgody marketingowe. Kompromitacja serwera ACC oznacza więc jednocześnie incydent bezpieczeństwa i incydent ochrony danych osobowych.
SSRF w tej architekturze jest szczególnie niebezpieczne: serwer ACC ma zwykle dostęp do wewnętrznych baz danych, kolejek i usług, do których nie ma dostępu sieć zewnętrzna. Wykorzystanie SSRF pozwala napastnikowi wysyłać żądania „z wnętrza” segmentu — co przy wsparciu wstrzyknięcia poleceń zamienia się w pełne przejęcie hosta.
Adobe nie zgłosiło aktywnej eksploatacji tych luk w chwili publikacji biuletynu, ale połączenie „CVSS 10 + brak interakcji użytkownika + produkt wystawiony do sieci” historycznie skraca czas do pojawienia się exploita do dni.
Wymagane działania
- Zastosuj poprawki wskazane w biuletynie Adobe APSB26-134. Sprawdź w biuletynie, która wersja Campaign Classic obowiązuje dla Twojego wdrożenia — Adobe publikuje osobne wersje dla gałęzi ACC v7 i v8.
- Zinwentaryzuj wystawienie: ustal, czy konsola i serwery aplikacyjne ACC są osiągalne z sieci publicznej. Serwer śledzenia (tracking server) i serwer aplikacyjny często są dostępne z internetu, bo obsługują odsłony i kliknięcia w wysyłkach.
- Do czasu aktualizacji ogranicz ruch przychodzący do niezbędnych adresów i ścieżek, a ruch wychodzący z serwerów ACC ogranicz do znanych miejsc docelowych — to bezpośrednia mitygacja wektora SSRF.
- Zweryfikuj segmentację: serwer ACC nie powinien mieć nieograniczonego dostępu sieciowego do reszty środowiska. Przy SSRF to właśnie zasięg sieciowy hosta decyduje o skali skutków.
- Sprawdź logi pod kątem nietypowych żądań do endpointów ACC oraz niespodziewanych procesów potomnych uruchamianych przez konto usługi Campaign.
Kogo dotyczy?
Podatność dotyczy organizacji korzystających z Adobe Campaign Classic w modelu on-premise lub hostowanym (managed services). W Polsce ACC występuje przede wszystkim w dużych firmach B2C prowadzących masową komunikację z klientami — w telekomunikacji, bankowości detalicznej, ubezpieczeniach, sieciach handlowych i e-commerce. To wdrożenia klasy enterprise, wybierane tam, gdzie liczba odbiorców i wymogi zgodności wykluczają proste narzędzia do wysyłki.
Właścicielem biznesowym ACC jest zwykle marketing, nie IT — i to jest praktyczna trudność przy tym alercie. Platforma bywa poza standardowym cyklem łatek infrastruktury, mimo że przetwarza dane osobowe w skali całej bazy klientów. Warto potraktować ten biuletyn jako okazję do zweryfikowania, kto formalnie odpowiada za aktualizacje ACC.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
