Adobe Campaign ClassicにCVE-2026-104353——修正版へ更新を

CVE-2026-104353とは：Adobe Campaign ClassicのOSコマンドインジェクション脆弱性

2026年10月27日、Adobeはメールマーケティングおよびキャンペーン管理基盤であるAdobe Campaign Classic（以下ACC）に、深刻なOSコマンドインジェクション脆弱性が存在することを公開した（出典：cve.org / CVE-2026-104353、Adobe Security Bulletin APSB26-162）。

識別子はCVE-2026-104353、CWEの分類はCWE-78（OSコマンドで使用される特殊要素の不適切な無害化）に該当する。CVSS 3.1基本値は9.9（Critical）、ベクター文字列はCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H（評価者：Adobe）と公表されている。

スコア9.9が示すのは、攻撃条件の低さと影響範囲の広さの組み合わせだ。ネットワーク越しに、低い権限さえあれば、ユーザー操作を一切必要とせず悪用できる。Scope（影響範囲）が「Changed」であることから、脆弱なコンポーネントの権限境界を越えて他のリソースへの影響が及ぶとAdobeは評価しており、機密性・完全性・可用性のいずれへの影響もHigh（高）と判定されている（CVSSベクターより）。

関連記事Ivanti Connect Secureの脆弱性は？ ／ VeloCloud脆弱性、オンプレ版はどう対応？

Adobe Campaign Classic 脆弱性CVE-2026-104353が日本企業にとって意味すること

Adobeは、本更新で対処した問題のいずれについても、実環境での悪用を認識していないと述べている。CISA KEV（既知の悪用脆弱性カタログ）への掲載は確認されていない。

Adobe Campaign Classic 脆弱性CVE-2026-104353 の影響バージョンと修正版

Adobeのセキュリティ情報APSB26-162および公式CVE記録が示す影響範囲と修正バージョンは以下のとおりだ。

表1：CVE-2026-104353 影響バージョンと修正バージョン（Adobe公式告知より）

製品	プラットフォーム	影響を受けるバージョン	修正済みバージョン	Adobeの推奨優先度
Adobe Campaign Classic ACC v7	Windows / Linux	7.4.4 build 9402 以前	7.4.4 build 9403	Priority 2

影響範囲はWindows版・Linux版の双方に及ぶ。修正版は7.4.4 build 9403であり、CVE記録上の「unaffected」の記載が示すとおり、build 9403以降は対象外だ。

なお、CVSS基本値9.9は技術的な深刻さの指標であって、現在の悪用状況の指標ではない点に留意が必要だ。

Adobe Campaign Classic 脆弱性CVE-2026-104353 に対して今取るべき対応

今やることを3点に絞って整理する。

1. 修正版への更新
Adobe Campaign Classic ACC v7の影響を受ける版（7.4.4 build 9402以前）を使用している場合は、7.4.4 build 9403へ更新する。AdobeはPriority 2としてこのアップデートの適用を推奨している（出典：Adobe Security Bulletin APSB26-162）。

2. 公式の回避策について
Adobe公式告知（APSB26-162）に公式の回避策（Workaround）の記載はない。修正版への更新が唯一の公式対処方法となる。

3. CISAのKEV掲載状況
2026年11月2日時点ではCISA KEVへの掲載は確認されていない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• Adobe Security Bulletin APSB26-162 — https://www.adobe.com/trust/security/products/campaign/apsb26-162.html
• CVE-2026-104353（cve.org）— https://www.cve.org/CVERecord?id=CVE-2026-104353
• CVE-2026-104353（NVD / NIST）— https://nvd.nist.gov/vuln/detail/CVE-2026-104353