Adobe Campaign ClassicにCVE-2026-104354——修正版へ更新を

Adobe Campaign Classic 脆弱性CVE-2026-104354の概要——何が起きているか

2026年10月27日、AdobeはAdobe Campaign Classic（ACC）に複数の深刻な脆弱性が存在することを公式セキュリティ情報（APSB26-162）で公開した（出典：Adobe セキュリティ情報 APSB26-162）。

そのうちCVE-2026-104354は、SQLインジェクション（CWE-89）に分類される脆弱性で、CVSS 3.1スコアは9.1（Critical）と評価されている（評価者：Adobe、ベクター：CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H）。影響を受けるのはACC v7のうち7.4.4 build 9402以下（Windows・Linux共通）であり、修正版は7.4.4 build 9403である。

CVE公式記録（cve.org、採番元CNA：Adobe）によれば、公開日は2026年10月27日、最終更新は2026年10月28日。Adobeは今回の更新で対応した問題について、実際の悪用（in the wild）を確認していないと述べており、CISAの既知悪用脆弱性カタログ（KEV）への掲載もない（出典：CVE.org CVE-2026-104354）。

関連記事Adobe Campaign Classicの脆弱性は？ ／ Adobe Campaign Classicの脆弱性は？

CVE-2026-104354が重大とみなされる技術的根拠

CVSSスコア9.1という評価は、ベクター文字列の各要素が積み重なった結果である。AV:N（攻撃経路：ネットワーク）は、インターネット経由での攻撃を可能にする。AC:L（攻撃の複雑さ：低）は、特殊な条件や事前の偵察なしに攻撃が成立することを示す。UI:N（ユーザー操作不要）は、被害者側の行動を必要としないことを意味する。これらが組み合わさることで、攻撃の実行ハードルは技術的に低い（出典：NVD CVE-2026-104354）。

悪用に「高権限（PR:H）」を要する点は、攻撃の前提条件として機能する。

「スコープ変更あり（S:C）」は、脆弱性の影響が当該コンポーネントの権限境界を越える場合に付与される評価区分である。機密性・完全性・可用性のいずれも「High」と評価されている（評価者：Adobe）。

APSB26-162に含まれる他CVEとの比較——CVE-2026-104354の位置づけ

今回のAdobeセキュリティ更新APSB26-162には、CVE-2026-104354以外にも複数の深刻なSQLインジェクション系CVEが含まれている。以下の表はAdobe公式告知（APSB26-162）に基づく比較であり、CVSSスコアはすべてAdobe（CNA）による評価値で統一している。

CVE番号	CVSSスコア	攻撃に必要な権限	スコープ変更	脆弱性分類
CVE-2026-105489	9.9（Critical）	低権限（PR:L）	あり（S:C）	SQLインジェクション（CWE-89）
CVE-2026-105781	9.8（Critical）	権限不要（PR:N）	あり（S:C）	SQLインジェクション（CWE-89）
CVE-2026-104354（本稿対象）	9.1（Critical）	高権限（PR:H）	あり（S:C）	SQLインジェクション（CWE-89）
CVE-2026-105779	9.1（Critical）	低権限（PR:L）	あり（S:C）	SQLインジェクション（CWE-89）

出典：Adobe セキュリティ情報 APSB26-162（2026年10月27日公開）／CVSSスコアはAdobe（CNA）評価値

CVE-2026-104354は今回の4件の中で攻撃に必要な権限が最も高いが、他の2件（CVE-2026-105489・CVE-2026-105781）は低権限または権限不要で、CVSSスコアも上回る。CVE-2026-104354の修正版は7.4.4 build 9403である。

Adobe Campaign Classic 脆弱性CVE-2026-104354——今やること

今やることは以下の3点に集約される。

1. 修正版への更新。ACC v7の7.4.4 build 9402以下を使用している場合、Adobeが提供する7.4.4 build 9403（Windows・Linux共通）へのアップデートを実施する。Adobeはこのアップデートを最新版として推奨している（出典：Adobe APSB26-162）。

2. 公式の回避策について。Adobe公式告知（APSB26-162）には、本更新で対応した脆弱性に対する回避策の記載はない。修正版への更新が唯一の公式対応である。

3. 悪用状況の継続監視。2026年11月2日時点のEPSS（Exploit Prediction Scoring System）による悪用確率の推定値は約0.496%（パーセンタイル値：約0.43）とされている。EPSSはあくまで統計的な推定であり、悪用されないことを保証するものではない。CISAのKEVには掲載されておらず、Adobeは本更新で対応した問題について実際の悪用（in the wild）を確認していないと述べている（出典：CVE.org CVE-2026-104354）。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

なお、本脆弱性とAI技術との関連は確認されていない。AIが発見した脆弱性でも、AI製品の欠陥でも、AIを用いた攻撃でもない。

限界と注意点

本記事は2026年10月〜11月時点の公開情報（Adobe APSB26-162、CVE.org、NVD）に基づく。EPSSスコアや脆弱性の悪用状況は時間の経過とともに変化する可能性があるため、最新の情報は必ず出典元の公式ページで確認されたい。

比較表に記載した各CVEのCVSSスコアはAdobe（CNA）による評価値であり、NVD等の第三者機関による評価と異なる場合がある。異なる評価者の値を混在させると誤解を招くため、本記事ではAdobe評価値に統一している。

---

参考文献

• Adobe セキュリティ情報 APSB26-162（2026年10月27日公開）
  https://www.adobe.com/trust/security/products/campaign/apsb26-162.html
• CVE.org — CVE-2026-104354（最終更新：2026年10月28日）
  https://www.cve.org/CVERecord?id=CVE-2026-104354
• NVD（National Vulnerability Database）— CVE-2026-104354
  https://nvd.nist.gov/vuln/detail/CVE-2026-104354