Adobe устранила в Campaign Classic SQL-инъекцию с оценкой 10,0, для которой не нужна учётная запись

В Банке данных угроз ФСТЭК появились пять записей по Adobe Campaign Classic. Самая опасная из них, SQL-инъекция CVE-2026-105781 с оценкой CVSS 3.1 10,0, не требует учётной записи и позволяет обойти ограничения безопасности и выполнить произвольный код. Уязвимы сборки до 7.4.4 build 9402 включительно, исправление вышло в 7.4.4 build 9403 по бюллетеню Adobe APSB26-162. Обновиться нужно всем, у кого платформа доступна из сети, включая тестовые и резервные инсталляции.

Что именно нашли в Campaign Classic

Условия эксплуатации

Все пять ошибок эксплуатируются удалённо: атакующему достаточно сетевого доступа к интерфейсу Campaign Classic. Участие пользователя не требуется, сценарии не предполагают перехода по ссылке или открытия файла. Для главной уязвимости учётные данные не нужны вообще. Для четырёх остальных хватает учётной записи с минимальными правами, например типовой записи маркетолога или оператора рассылок.

Отсюда следует вывод про периметр. Если консоль Campaign Classic или её веб-интерфейс опубликованы в интернет, SQL-инъекция с оценкой 10,0 доступна любому, кто знает адрес. Ограничение доступа по IP и VPN здесь не дополнительная мера, а базовая.

SQL-инъекция без аутентификации

CVE-2026-105781 (BDU:2026-18647) - классическая SQL-инъекция. Приложение подставляет ввод пользователя в SQL-запрос без безопасной параметризации, атакующий дописывает в запрос свои конструкции и получает возможность читать и менять данные в базе.

Оценка 10,0 объясняется сочетанием факторов: сетевой вектор, отсутствие требований к аутентификации, влияние на конфиденциальность, целостность и доступность. В источнике указано, что эксплуатация позволяет обойти ограничения безопасности и выполнить произвольный код. Второй эффект обычно достигается через возможности СУБД: чтение файлов, запись в каталоги, вызов процедур.

Практический смысл для владельца системы простой. В базе Campaign Classic лежат профили получателей, история рассылок, сегменты и настройки интеграций. Утечка этих данных означает потерю персональных данных и коммерческой тайны одновременно.

Остальные четыре ошибки

Вторая SQL-инъекция, CVE-2026-105489 (BDU:2026-18646), оценена в 9,9 и требует низких привилегий. Разница в одну десятую здесь ничего не меняет: обе ошибки ведут к компрометации базы.

CVE-2026-104351 (BDU:2026-18652) относится к неверному управлению генерацией кода, CWE-94. Приложение собирает исполняемый код из входных данных и не проверяет, что именно в нём оказалось. Пользователь с низкими привилегиями дописывает свои инструкции и выполняет их на сервере.

CVE-2026-104353 (BDU:2026-18651) - внедрение команд операционной системы, CWE-78. Пользовательский ввод попадает в команду оболочки, и специальные символы позволяют запустить произвольную программу от имени процесса приложения.

CVE-2026-105780 (BDU:2026-18645) связано с недостатками авторизации, CWE-863. Проверка прав выполняется не полностью, поэтому учётная запись с минимальными правами получает доступ к функциям, которые ей не положены. По данным источника это тоже приводит к удалённому выполнению кода.

Четыре из пяти ошибок требуют лишь низких привилегий. На практике это означает цепочку: сначала перехват или подбор учётной записи маркетолога, затем выполнение кода на сервере и полный контроль над платформой. Учётные записи маркетинговых команд часто бывают общими на отдел и не защищены вторым фактором, так что барьер в виде «низких привилегий» выглядит невысоким.

Почему это важно для маркетинговой платформы

Campaign Classic нередко стоит на границе доверенной сети. Через него отправляют письма, он связан с CRM, аналитикой и внешними сервисами доставки. Учётные данные от этих интеграций, ключи API и параметры SMTP хранятся в самом приложении.

Если атакующий получает выполнение кода на сервере, он оказывается внутри сети, а не снаружи. Дальше идут боковые перемещения к CRM и файловым хранилищам. Для многих организаций эта система видит значительную часть клиентской базы.

Отдельный риск - репутационный и регуляторный. Рассылка от имени компании после компрометации выглядит убедительно для получателей, а инцидент с персональными данными требует уведомлений в установленные сроки.

Затронутые версии

Уязвимы версии Adobe Campaign Classic до 7.4.4 build 9402 включительно. Исправление выпущено в сборке 7.4.4 build 9403 по бюллетеню APSB26-162. Все пять записей подтверждены производителем и помечены как устранённые.

Слово «включительно» важно при инвентаризации. Сборка 9402 может стоять не только на продуктивном контуре, но и на стенде разработки, в тестовой среде и на резервном узле. Достаточно одного неустранённого экземпляра в сети, чтобы атака удалась.

Что исправляет патч

Обновление закрывает все пять ошибок: две SQL-инъекции, генерацию кода, внедрение команд и обход авторизации. Патч не меняет схему данных, поэтому отдельная миграция не нужна, но окно на перезапуск сервисов заложить стоит.

После установки проверьте номер сборки в консоли и в свойствах установленных компонентов. Иногда обновляют только один узел кластера, а остальные продолжают работать на старой версии. Формально исправление есть, а риск сохраняется.

Если обновиться нельзя

Полностью компенсировать SQL-инъекцию без патча не получится. Промежуточные меры снижают вероятность эксплуатации, но не устраняют ошибку.

Закройте доступ к интерфейсу Campaign Classic из недоверенных сетей. Оставьте только адреса и сегменты, откуда действительно работают администраторы и маркетологи. Уберите публикацию консоли в интернет, если она там есть.

Пересмотрите учётные записи с минимальными правами. Отключите неиспользуемые, ограничьте время жизни сессий, включите многофакторную аутентификацию на уровне внешнего шлюза. Это усложняет путь для четырёх ошибок из пяти, но не помогает против CVE-2026-105781.

Как проверить, что риск закрыт

Проверьте все экземпляры, включая тестовые, резервные и забытые копии рядом с продуктивом. Сверьте сборку с эталоном 7.4.4 build 9403.

Просмотрите журналы веб-сервера на подозрительные запросы к страницам аутентификации и интерфейсам на JSP. Обратите внимание на ошибки SQL в логах приложения и на запуск дочерних процессов от имени пользователя, под которым работает Campaign Classic.

Если экземпляр был доступен из интернета и оставался на уязвимой сборке, считайте учётные записи и ключи интеграций потенциально скомпрометированными. Их нужно сменить.

Первое действие - инвентаризация. Второе - обновление до 7.4.4 build 9403 на всех узлах. Ограничение доступа и ротация секретов дополняют патч, но не заменяют его.