Adobe Campaign ClassicにCVE-2026-104351――修正版へ更新を

公開日：2026年11月2日文：クリスタルメソッド編集部監修：河合継（代表取締役）

CVE-2026-104351とは――Adobe Campaign Classicに深刻なコードインジェクション

2026年10月27日、Adobeはマーケティングオートメーション製品「Adobe Campaign Classic（以下ACC）」に影響するセキュリティ脆弱性CVE-2026-104351を公開した（出典：Adobe Security Bulletin APSB26-162）。脆弱性の種別はCWE-94（コード生成の不適切な制御、いわゆるコードインジェクション）であり、CVSSv3.1基本値は9.9（Critical）と極めて高い深刻度で評価されている。

影響を受けるのはACC v7の7.4.4 build 9402以前（WindowsおよびLinux）。修正が適用されたバージョンは7.4.4 build 9403となる。Adobeは同日、優先度2のセキュリティ更新として修正版を公開しており、利用者に対して速やかな更新を推奨している。なお、Adobeは本脆弱性について実際の悪用（in the wild）を現時点で確認していないと表明している（出典：APSB26-162）。

図：CVE-2026-104351の攻撃経路と影響範囲。低権限の攻撃者がネット経由でACCにコードを送り込み、機密性・完全性・可用性のすべてに高い影響が及ぶ。Scopeが「変化（Changed）」と評価されており、ACCの権限範囲を超えた影響が評価に含まれる。

CVSSベクターの読み方――CVE-2026-104351が持つ脅威の構造

CVSSv3.1スコア9.9という数値は満点10.0に極めて近い。このスコアを導いているベクターAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H（評価者：Adobe）は、次の特性を持つ（出典：CVE.org CVE-2026-104351）。

攻撃経路（AV:N）：ネットワーク越しに悪用可能。物理アクセスや同一セグメントへの侵入は不要。
攻撃の複雑さ（AC:L）：特殊な条件を整える必要がなく、再現性が高い。
必要権限（PR:L）：低権限のアカウントがあれば悪用できる。
ユーザー操作（UI:N）：被害者側の操作を必要としない。
スコープ変化（S:C）：ACCの権限範囲を超えて他のコンポーネントへ影響が及ぶ可能性がある。

CWE-94（コードインジェクション）は、アプリケーションが外部入力を適切に検証・サニタイズせずに実行環境へ渡す欠陥を指す。悪用された場合、低権限の攻撃者が現在のユーザーのコンテキストで任意のコードを実行できる可能性がある。

一方でFIRST EPSSによる悪用確率の統計的推定値は0.00573（パーセンタイル0.47355、2026年11月1日時点）とされている。EPSSはあくまで確率の統計的推定であり、悪用の発生を断定するものではない。

次に読む：Adobe Campaign Classicの更新は？

Adobe Campaign ClassicにCVE-2026-104353——修正版へ更新を

今やること

ACC v7の7.4.4 build 9402以前（WindowsおよびLinux）を使用している場合は、修正版であるACC v7の7.4.4 build 9403（WindowsおよびLinux対応）へ更新する。手順の詳細はAdobeの公式告知（APSB26-162）を参照のこと。公式の回避策は示されていない。

CVE-2026-104351 対応チェックリスト
確認項目	内容	参照先
CVE番号	CVE-2026-104351	CVE.org
深刻度	CVSSv3.1: 9.9（Critical）	NVD
脆弱性種別	CWE-94（コードインジェクション）	CVE.org
影響バージョン	ACC v7: 7.4.4 build 9402以前（Win/Linux）	APSB26-162
修正バージョン	ACC v7: 7.4.4 build 9403（Win/Linux）	APSB26-162
CISA KEV掲載	なし（2026年11月2日時点）	—
実際の悪用	Adobeが確認していないと表明	APSB26-162
EPSS（悪用確率推定）	0.573%（2026年11月1日時点・統計的推定値）	CVE.org

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

参考文献

Adobe Security Bulletin APSB26-162 — https://www.adobe.com/trust/security/products/campaign/apsb26-162.html
CVE.org — CVE-2026-104351 — https://www.cve.org/CVERecord?id=CVE-2026-104351
NVD (National Vulnerability Database) — CVE-2026-104351 — https://nvd.nist.gov/vuln/detail/CVE-2026-104351

重大な脆弱性が出たら、メールでお知らせします

悪用が確認された重大な脆弱性が出たときだけ送ります（頻繁には送りません）。無料・配信停止はメール内のリンクからいつでもできます。

脆弱性への対応・AIセキュリティでお困りの方へ

クリスタルメソッドは、脆弱性情報の監視とお知らせ、AIセキュリティのご相談、AIを業務に取り入れる際のセキュリティを学ぶ研修をお受けしています。「使っている製品が対象か分からない」「社内でAIを使うときの注意点を整理したい」といった段階からご相談いただけます。

無料相談・お問い合わせ：ご相談はこちら
提供内容と料金：脆弱性の監視サービス

監修

河合継（クリスタルメソッド株式会社代表取締役）

AI・ディープラーニングに関する特許16件の発明者。過去、国立がん研究センターとの共同研究や、テレビ番組でのAI解説実績を持つAI研究者として、AIの研究開発を主導している。
運営会社について｜編集方針