Adobe vient de corriger une vulnérabilité maximale dans Adobe Campaign Classic. Référencée CVE-2026-48449, la faille obtient la note maximale de 10/10 sur l’échelle CVSS et peut permettre l’exécution de code arbitraire à distance, sans privilège préalable ni interaction de l’utilisateur.
Le correctif a été publié le 29 juillet 2026. Les entreprises utilisant une installation locale vulnérable sont invitées à appliquer la mise à jour rapidement. Adobe précise ne pas avoir connaissance d’une exploitation active de la faille à ce stade.
Adobe Campaign Classic, un outil utilisé pour les campagnes marketing
Adobe Campaign Classic est une plateforme destinée aux entreprises pour gérer et automatiser leurs campagnes marketing, notamment les communications par e-mail et différents parcours clients. Elle peut être intégrée au système d’information et manipuler d’importants volumes de données clients.
La vulnérabilité concerne Adobe Campaign Classic v7 7.4.3 build 9397 et les versions antérieures sous Windows et Linux.
Une erreur d’autorisation notée 10 sur 10
CVE-2026-48449 est classée comme une vulnérabilité d’autorisation incorrecte. Dans certaines conditions, le logiciel ne vérifierait donc pas correctement qu’une action est autorisée avant de l’exécuter.
Son vecteur CVSS est particulièrement préoccupant : l’attaque peut être menée à travers le réseau, avec une faible complexité, sans compte préalable et sans intervention de la victime. Une exploitation réussie peut conduire à l’exécution de code arbitraire.
Une seconde faille permet de lire des fichiers du serveur
Adobe corrige simultanément une seconde vulnérabilité critique, CVE-2026-48448, notée 8,6/10. Cette fois, il s’agit d’une injection SQL pouvant permettre la lecture arbitraire de fichiers présents sur le système.
La combinaison des deux failles rend la mise à jour particulièrement importante : l’une peut conduire à l’exécution de code tandis que l’autre peut exposer des fichiers présents sur l’infrastructure.
Quels sont les risques pour une entreprise ?
Une plateforme marketing constitue une cible intéressante pour les cybercriminels en raison de ses connexions avec le système d’information et des données qu’elle peut traiter. Une compromission pourrait notamment permettre :
- l’exécution de commandes malveillantes sur un serveur ;
- la consultation ou le vol de fichiers ;
- l’accès à des données utilisées dans les campagnes marketing ;
- le déploiement de logiciels malveillants ;
- l’utilisation du serveur compromis comme point d’entrée vers d’autres systèmes.
Les installations hébergées par Adobe sont déjà corrigées
L’alerte concerne uniquement les installations on-premise de Campaign Classic ainsi que les composants locaux utilisés dans certaines architectures hybrides. Les instances directement hébergées par Adobe ont déjà été corrigées et ne nécessitent aucune intervention des clients.
Pour les installations concernées, Adobe recommande de passer à Campaign Classic v7 7.4.3 build 9398. La mise à jour est classée en priorité 1, le niveau de priorité le plus élevé attribué par Adobe à ses correctifs de sécurité.
Pas d’exploitation connue pour le moment
Adobe indique ne disposer d’aucune preuve montrant que CVE-2026-48449 ou CVE-2026-48448 sont actuellement exploitées dans des cyberattaques. Leur sévérité et l’absence d’authentification requise rendent néanmoins les installations vulnérables particulièrement intéressantes pour des attaquants dès lors qu’elles sont accessibles.