Adobe Campaign Classic reçoit des correctifs pour huit failles critiques, dont une injection de code notée 9,9 sur CVSS.

Adobe vient de publier des correctifs de sécurité pour Adobe Campaign Classic. Ils corrigent huit vulnérabilités jugées critiques. En effet, exploitées avec succès, ces failles permettraient d’exécuter du code arbitraire. Elles permettraient également de contourner des mécanismes de sécurité ou d’obtenir des privilèges supérieurs. Les administrateurs de la plateforme doivent donc se pencher rapidement sur ce bulletin.

Adobe Campaign Classic : huit vulnérabilités corrigées

Adobe Campaign Classic est une solution de gestion de campagnes marketing. Elle sert notamment à orchestrer des envois d’e-mails, de SMS ou de notifications. Pour cela, elle s’appuie sur des bases de données clients souvent volumineuses. Par conséquent, une telle plateforme intéresse naturellement les attaquants.

Le correctif porte sur huit failles au total. Ainsi, elles couvrent trois grandes catégories d’impact :

• l’exécution de code arbitraire ;
• le contournement de fonctions de sécurité ;
• l’élévation de privilèges.

Ces trois catégories sont souvent combinées dans une chaîne d’attaque. Par exemple, un contournement de sécurité peut ouvrir la voie à une exécution de code. Ensuite, une élévation de privilèges permet de prendre le contrôle complet du système. C’est pourquoi un lot de corrections de cette ampleur mérite d’être traité comme une priorité.

La faille CVE-2026-104351 en détail

Parmi les huit vulnérabilités, une est particulièrement préoccupante. Il s’agit de CVE-2026-104351, qui affiche un score CVSS de 9,9 sur 10. Ce niveau la place donc tout en haut de l’échelle de gravité.

Cette faille est une vulnérabilité d’injection de code. Elle peut conduire à l’exécution de code arbitraire. Autrement dit, un attaquant parvenant à l’exploiter pourrait faire tourner ses propres instructions sur le système visé.

Une injection de code survient lorsqu’une application traite des données non fiables comme des instructions. Dans ce cas, l’application ne distingue plus le contenu légitime de la commande malveillante. Ainsi, l’attaquant peut détourner le fonctionnement normal du logiciel.

Un score de 9,9 est en général associé à des conditions d’exploitation peu contraignantes et à un impact très fort. Il reflète également un risque élevé pour la confidentialité, l’intégrité et la disponibilité des données. Toutefois, les informations disponibles ne détaillent pas les sept autres failles du lot. Il est donc prudent de consulter le bulletin officiel d’Adobe. Il fournit la liste complète des identifiants et des versions concernées.

Quels risques pour les entreprises utilisatrices ?

Une exécution de code arbitraire reste l’un des scénarios les plus graves. En effet, elle donne à l’attaquant une base solide pour poursuivre son intrusion. Il peut installer un outil d’accès distant, voler des données ou se déplacer vers d’autres systèmes.

Dans le cas d’une plateforme marketing, l’enjeu est double. D’une part, les bases de contacts contiennent des données personnelles. Leur fuite peut entraîner des obligations légales, notamment au titre du RGPD. D’autre part, un attaquant maître de la plateforme pourrait envoyer des messages frauduleux. Ainsi, ces envois se feraient au nom de l’entreprise. Ils toucheraient des clients qui lui font confiance.

Le contournement de fonctions de sécurité aggrave encore la situation. En effet, il peut neutraliser des contrôles censés limiter les actions d’un utilisateur ou d’un composant. L’élévation de privilèges, elle, transforme un accès limité en accès administrateur. Par conséquent, même un compte à faibles droits devient un point d’entrée dangereux.

À ce stade, les informations fournies ne font état d’aucune exploitation active de ces failles. Néanmoins, la publication d’un correctif attire souvent l’attention des attaquants. En effet, ils comparent les versions pour comprendre ce qui a été corrigé. Le délai entre le correctif et les premières attaques peut donc être très court.

Recommandations pour sécuriser Adobe Campaign Classic

Les équipes en charge de la plateforme peuvent agir dès maintenant. Voici donc les étapes à suivre :

1. Consulter le bulletin de sécurité d’Adobe pour identifier les versions touchées et les correctifs associés.
2. Appliquer les mises à jour en priorité sur les instances exposées à Internet.
3. Vérifier les journaux à la recherche d’activités inhabituelles, notamment des requêtes suspectes ou des créations de comptes inattendues.
4. Limiter les privilèges des comptes opérateurs au strict nécessaire.
5. Segmenter le réseau afin de restreindre l’accès aux serveurs de la plateforme.

En outre, il est recommandé de tester les correctifs dans un environnement de préproduction. Cette précaution évite de perturber les campagnes en cours. Toutefois, elle ne doit pas retarder le déploiement de façon excessive. La gravité de la faille CVE-2026-104351 l’impose.

Ce qu’il faut retenir

• Adobe a corrigé huit vulnérabilités critiques dans Adobe Campaign Classic.
• Les impacts possibles sont l’exécution de code arbitraire, le contournement de sécurité et l’élévation de privilèges.
• La faille CVE-2026-104351 est une injection de code, notée 9,9 sur l’échelle CVSS.
• Les mises à jour doivent donc être appliquées sans attendre, en commençant par les systèmes exposés.
• Enfin, une surveillance des journaux et une réduction des privilèges complètent utilement la protection.

Source : Adobe Fixes 8 Critical Campaign Classic Flaws Allowing Code Execution and Security Bypass