Adobe Campaign ClassicにSQLi脆弱性CVE-2026-105489

CVE-2026-105489 — Adobe Campaign Classicで確認されたSQLインジェクション脆弱性の概要

2026年10月27日、Adobeはマーケティングオートメーション製品Adobe Campaign Classic（以下ACC）において、SQLインジェクション脆弱性CVE-2026-105489を公開した（最終更新：2026年10月28日、出典：CVE.org）。

脆弱性の種類はCWE-89「SQLコマンドで使用される特殊要素の不適切な無害化」、いわゆるSQLインジェクションである。CVSS v3.1スコアはAdobe自身の評価で9.9（CRITICAL）と付与されており、CRITICALに分類される。

影響を受けるバージョンはAdobe Campaign Classic バージョン7.4.4 ビルド9402以下であり、ビルド9403が修正版として位置づけられている（CVE.org公式記録より）。現時点でCISAのKnown Exploited Vulnerabilities（KEV）カタログへの掲載は確認されていない。

関連記事AIセキュリティ対策とは？企業が知るべきリスクは？ ／ AIによる情報漏洩の原因・事例は？

Adobe Campaign Classic 脆弱性CVE-2026-105489の技術的特性と深刻度

CVSS v3.1のベクターはAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H（評価者：Adobe）であり、各要素が示す意味は以下のとおりである。

表：CVE-2026-105489 CVSSv3.1 評価項目の内訳（評価者：Adobe）

評価項目	値	実務上の意味
攻撃経路（AV）	ネットワーク（N）	物理アクセス不要。インターネット経由で到達可能
攻撃複雑度（AC）	低（L）	特殊な事前条件や高度な技術を必要としない
必要な権限（PR）	低（L）	低権限の認証済みユーザーで悪用可能
ユーザー操作（UI）	不要（N）	被害者側の操作なしに攻撃が成立する
スコープ（S）	変更あり（C）	脆弱コンポーネントの管理境界を超えた影響が生じる
機密性への影響（C）	高（H）	情報の不正取得リスクあり
完全性への影響（I）	高（H）	データ改ざんリスクあり
可用性への影響（A）	高（H）	サービス停止リスクあり

スコープが「変更あり（C）」という点は特に注目すべき特性である。CVSSの仕様上、スコープ変更は脆弱なコンポーネントが属する認可境界（Authorization Scope）の外にある別コンポーネントへ影響が及ぶことを意味する。

悪用の現況については、EPSS（悪用される確率の統計的推定）が2026年11月1日時点で約0.0048（パーセンタイル約0.41）と低水準にある（FIRST EPSS）。EPSSはあくまで統計的な推定値であり、「悪用されない」ことを保証するものではない。

Adobe Campaign Classic 脆弱性CVE-2026-105489が日本の企業運用に示す意味

ACCはマーケティングオートメーション製品であり、SQLインジェクションの悪用が成功すると、現在のユーザーの権限で任意のコードが実行される可能性がある。低権限の攻撃者がユーザー操作を介さずに悪用できるため、対象の版を使っている場合は修正版への更新が必要になる。

Adobe Campaign Classic 脆弱性CVE-2026-105489 — 今やること

今やることは以下の2点である。

1. ビルド9402以下を使用している場合は、修正版ビルド9403へ更新する。
2. 公式の回避策はCVE公式記録に記載がない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE.org — CVE-2026-105489 公式記録：https://www.cve.org/CVERecord?id=CVE-2026-105489
• NVD（米国国立脆弱性データベース）— CVE-2026-105489：https://nvd.nist.gov/vuln/detail/CVE-2026-105489