Adobe Campaign Classic脆弱性CVE-2026-104350——修正版へ更新を

CVE-2026-104350の概要——Adobe Campaign ClassicにCVSS 9.3の反射型XSS

2026年10月27日、AdobeはAdobe Campaign Classic（ACC）に影響する脆弱性CVE-2026-104350を公開した（最終更新：2026年11月2日、採番CNA：Adobe）。脆弱性の種別はCWE-79、反射型クロスサイトスクリプティング（Reflected XSS）であり、CVSSベーススコアは9.3（Critical）と評価されている。

CVSSベクトルは CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N（評価者：Adobe）。ネットワーク経由・低い攻撃複雑性・認証不要という組み合わせが高スコアを形成している。スコープは変更される（Scope Changed）。機密性（C:H）および完全性（I:H）はいずれも「High」である。

対象バージョンはACC v7：7.4.4 build 9402以下（WindowsおよびLinux）。修正済みバージョンはACC v7：7.4.4 build 9403（WindowsおよびLinux）。AdobeはセキュリティアドバイザリAPSB26-162において、現時点で本脆弱性が実環境で悪用された事例は確認されていないと明言している。米国政府機関が管理するCISA KEV（既知の悪用された脆弱性カタログ）への掲載もない（2026年11月2日時点）。

FIRST EPSSによる悪用確率の統計的推定値は0.605%（パーセンタイル：0.490、2026年11月2日時点）である。これは統計モデルによる推計であり、悪用の発生を断定するものではない。

出典：Adobe APSB26-162、CVE.org CVE-2026-104350

関連記事Adobe Campaign ClassicにCVE-2026-104353——修正版へ更新を ／ Adobe Campaign ClassicにCVE-2026-105780——修正版へ更新を

反射型XSSがマーケティング基盤に突きつける意味——なぜACCで深刻か

Adobe Campaign Classicは、大規模メール配信・キャンペーン管理・顧客データ連携を担うエンタープライズ向けマーケティングオートメーション基盤である。

反射型XSSが成立するには被害者のユーザー操作が前提となる——攻撃者が細工したURLを踏むか、侵害されたWebページとインタラクションすることが必要だ。

攻撃が成立した場合、被害者のアカウントないしセッションへの昇格アクセスが得られる可能性がある（CVE.org CVE-2026-104350）。

影響を受けるバージョンと修正版——対応表と優先度評価の読み方

AdobeはセキュリティアドバイザリAPSB26-162において、影響範囲と修正版を以下のとおり明示している。

製品	影響を受けるバージョン	修正バージョン	優先度評価	対応OS
Adobe Campaign Classic v7	7.4.4 build 9402 以下	7.4.4 build 9403	Priority rating 2	Windows / Linux

出典：Adobe APSB26-162 / NVD CVE-2026-104350

この更新は優先度評価2（Priority rating 2）に分類されている。

Adobeはこの脆弱性に対する公式の回避策を発表していない。

CVE-2026-104350への対応——日本の運用担当者が今確認すべき3点

影響を受ける版のACCを使用している場合は、ベンダーの告知の修正版へ更新する。Adobeは修正版としてACC v7：7.4.4 build 9403（Windows / Linux）を公開しており、この更新は優先度評価2（Priority rating 2）に分類されている。修正版が無い場合は、ベンダーの告知に従う。Adobeはこの脆弱性に対する公式の回避策を示していない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• Adobe, “Security update available for Adobe Campaign Classic | APSB26-162” — https://www.adobe.com/trust/security/products/campaign/apsb26-162.html
• CVE Program, “CVE-2026-104350” — https://www.cve.org/CVERecord?id=CVE-2026-104350
• NIST National Vulnerability Database, “CVE-2026-104350 Detail” — https://nvd.nist.gov/vuln/detail/CVE-2026-104350