Adobe อุดช่องโหว่ CVSS 10.0 ใน Campaign Classic รันโค้ดได้โดยไม่ต้องอาศัยผู้ใช้ — พร้อมแพตช์ Bridge อีก 8 รายการ

สรุปสั้น

Adobe ปล่อยอัปเดตความปลอดภัยเพื่อปิดช่องโหว่ระดับรุนแรงสูงสุดใน Campaign Classic หรือ ACC ซึ่งเป็นแพลตฟอร์มการตลาดอัตโนมัติที่ออกแบบมาสำหรับองค์กรขนาดใหญ่ ช่องโหว่ดังกล่าวติดตามในรหัส CVE-2026-48449 และได้คะแนนความรุนแรงเต็ม 10.0 บนมาตรวัด CVSS โดยถูกอธิบายว่าเป็นกรณีการตรวจสอบสิทธิ์ที่ไม่ถูกต้อง (incorrect authorization) ซึ่งเปิดทางให้รันโค้ดใดก็ได้ในบริบทของผู้ใช้ปัจจุบัน และที่สำคัญคือไม่ต้องอาศัยปฏิสัมพันธ์ใด ๆ จากผู้ใช้เลย อัปเดตชุดเดียวกันยังปิดช่องโหว่ระดับรุนแรงสูงอีกหนึ่งรายการคือ CVE-2026-48448 คะแนน CVSS 8.6 ซึ่งเกิดจาก SQL injection ที่อาจนำไปสู่การอ่านไฟล์ใดก็ได้ในระบบ

Adobe ระบุในคำแนะนำด้านความปลอดภัยว่า “อัปเดตนี้แก้ไขช่องโหว่ระดับวิกฤตที่อาจนำไปสู่การรันโค้ดใดก็ได้และการอ่านไฟล์ในระบบไฟล์” พร้อมย้ำว่าบริษัทยังไม่พบว่ามีช่องโหว่รายการใดถูกใช้โจมตีจริง ทั้งสองรายการได้รับการแก้ไขแล้วใน ACC v7 เวอร์ชัน 7.4.3 build 9398 ทั้งบนวินโดวส์และลินุกซ์ นอกเหนือจาก Campaign Classic แล้ว Adobe ยังปล่อยอัปเดตแยกอีกชุดเพื่อปิดช่องโหว่ระดับ critical ใน Adobe Bridge จำนวน 8 รายการ ซึ่งอาจนำไปสู่การยกระดับสิทธิ์และการรันโค้ดใดก็ได้เช่นกัน

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 1 สิงหาคม พ.ศ. 2569 ว่า Adobe ได้เผยแพร่คำแนะนำด้านความปลอดภัยหมายเลข APSB26-114 สำหรับ Campaign Classic โดยจุดที่ต้องให้ความสำคัญเป็นอันดับแรกคือ CVE-2026-48449 ซึ่งได้คะแนน CVSS 10.0 อันเป็นคะแนนสูงสุดที่เป็นไปได้ คะแนนระดับนี้สะท้อนว่าช่องโหว่โจมตีได้จากระยะไกลผ่านเครือข่าย มีความซับซ้อนในการโจมตีต่ำ ไม่ต้องมีสิทธิ์ใด ๆ อยู่ก่อน และไม่ต้องอาศัยผู้ใช้ทำอะไรทั้งสิ้น ซึ่งเป็นเงื่อนไขชุดที่ทำให้ช่องโหว่ประเภทนี้มักกลายเป็นเป้าหมายแรก ๆ ของทั้งนักวิจัยและผู้ก่อภัยเมื่อมีการเผยแพร่รายละเอียดออกมา

ประเด็นที่ควรสังเกตคือ นี่เป็นครั้งที่สองในรอบราวหนึ่งเดือนที่ Adobe Campaign Classic มีช่องโหว่ระดับ CVSS 10.0 ที่มีลักษณะเดียวกัน เพราะเว็บไซต์นี้เคยรายงานไว้ในโพสต์ 026 ว่า Adobe ปิดช่องโหว่ CVE-2026-48286 คะแนน 10.0 ซึ่งก็เป็นกรณี incorrect authorization ที่นำไปสู่การรันโค้ดเช่นกัน และแก้ไขไปแล้วใน build 9397 การที่รอบนี้ต้องขยับไป build 9398 หมายความว่าองค์กรที่เพิ่งอัปเดตตามคำแนะนำรอบก่อนไปหมาด ๆ ก็ยังต้องอัปเดตซ้ำอีกรอบ

สำหรับฝั่ง Adobe Bridge ซึ่งเป็นโปรแกรมจัดการไฟล์สื่อที่ใช้กันแพร่หลายในสายงานออกแบบและงานผลิตสื่อ Adobe ได้ปล่อยคำแนะนำหมายเลข APSB26-89 เพื่อปิดช่องโหว่ระดับ critical รวม 8 รายการ ซึ่งครอบคลุมทั้งช่องโหว่ประเภท untrusted search path, incorrect authorization, path traversal และ out-of-bounds write โดยรายการที่ได้คะแนนสูงสุดอยู่ที่ CVSS 8.6

Adobe ให้เครดิตแก่นักวิจัยด้านความปลอดภัยที่ใช้ชื่อ Kieran (หรือ “kaiksi”) ในการค้นพบและรายงานช่องโหว่ CVE-2026-48390, CVE-2026-48391, CVE-2026-48395, CVE-2026-48396 และ CVE-2026-48374 ส่วนนักวิจัยที่ใช้ชื่อ “yjdfy” ได้รับเครดิตสำหรับ CVE-2026-48392, CVE-2026-48393 และ CVE-2026-48394 โดยบริษัทแนะนำให้ผู้ใช้ติดตั้งอัปเดตล่าสุดเพื่อการป้องกันที่ดีที่สุด ทั้งนี้รายงานไม่ได้ระบุจำนวนระบบที่ได้รับผลกระทบทั่วโลก และไม่มีรายละเอียดทางเทคนิคเชิงลึกของช่องโหว่ออกมาในขณะนี้ ซึ่งเป็นแนวปฏิบัติปกติเพื่อชะลอการสร้างโค้ดโจมตี

รายละเอียดช่องโหว่

ช่องโหว่หลักสองรายการใน Campaign Classic ได้แก่ CVE-2026-48449 คะแนน CVSS 10.0 ซึ่งเป็นช่องโหว่การตรวจสอบสิทธิ์ที่ไม่ถูกต้อง นำไปสู่การรันโค้ดใดก็ได้ในบริบทของผู้ใช้ปัจจุบันโดยไม่ต้องอาศัยปฏิสัมพันธ์จากผู้ใช้ และ CVE-2026-48448 คะแนน CVSS 8.6 ซึ่งเป็นช่องโหว่ SQL injection ที่เปิดทางให้อ่านไฟล์ใดก็ได้ในระบบ ทั้งคู่ได้รับการแก้ไขใน ACC v7: 7.4.3 build 9398 สำหรับทั้งวินโดวส์และลินุกซ์

ส่วนช่องโหว่ระดับ critical ทั้ง 8 รายการใน Adobe Bridge มีรายละเอียดดังนี้

ผลกระทบ

Campaign Classic เป็นระบบที่องค์กรใช้บริหารแคมเปญการตลาดข้ามช่องทาง ซึ่งโดยธรรมชาติของงานย่อมเก็บฐานข้อมูลผู้ติดต่อ รายชื่อลูกค้า อีเมล และประวัติการมีปฏิสัมพันธ์ไว้จำนวนมาก เมื่อช่องโหว่เปิดทางให้รันโค้ดได้โดยไม่ต้องมีสิทธิ์และไม่ต้องอาศัยผู้ใช้ ระบบที่เปิดให้เข้าถึงจากอินเทอร์เน็ตจึงเท่ากับเป็นประตูตรงเข้าสู่คลังข้อมูลลูกค้าขององค์กร ส่วนช่องโหว่ SQL injection ที่อ่านไฟล์ได้ก็เพิ่มความเสี่ยงที่ผู้โจมตีจะดึงไฟล์ตั้งค่าหรือข้อมูลรับรองที่เก็บอยู่บนเซิร์ฟเวอร์ออกไปได้

ฝั่ง Adobe Bridge มีลักษณะความเสี่ยงต่างออกไป เพราะเป็นซอฟต์แวร์ที่ทำงานบนเครื่องผู้ใช้ปลายทาง ช่องโหว่ประเภท untrusted search path และ path traversal จึงมักถูกใช้เป็นขั้นตอนต่อยอดหลังจากผู้โจมตีเข้าถึงเครื่องได้แล้ว เพื่อยกระดับสิทธิ์หรือรันโค้ดในบริบทที่มีสิทธิ์สูงขึ้น ในสายงานออกแบบและงานผลิตสื่อที่เครื่องผู้ใช้มักต้องเปิดไฟล์จากลูกค้าหรือคู่ค้าภายนอกเป็นประจำ ความเสี่ยงจากไฟล์ที่ถูกสร้างมาเพื่อโจมตีโดยเฉพาะจึงไม่ใช่เรื่องไกลตัว

สิ่งที่ควรระบุให้ชัดคือ Adobe ยืนยันว่ายังไม่พบการโจมตีจริงสำหรับช่องโหว่ชุดนี้ และยังไม่มีการเผยแพร่โค้ดสาธิตการโจมตีต่อสาธารณะ ณ เวลาที่รายงานออกมา ความเร่งด่วนในการติดตั้งแพตช์จึงมาจากระดับความรุนแรงของช่องโหว่และประวัติที่ผลิตภัณฑ์ตระกูลนี้เคยถูกเล็งมาก่อน ไม่ใช่จากการโจมตีที่กำลังเกิดขึ้น

คำแนะนำ

องค์กรที่ใช้ Adobe Campaign Classic แบบติดตั้งเองควรอัปเดตเป็น ACC v7: 7.4.3 build 9398 โดยเร็วที่สุด และไม่ควรถือว่าการอัปเดตเป็น build 9397 ตามคำแนะนำรอบก่อนหน้าเพียงพอแล้ว เพราะช่องโหว่รอบนี้เป็นคนละรายการกัน หากยังไม่สามารถอัปเดตได้ทันที ควรจำกัดการเข้าถึงหน้าจัดการของระบบให้อยู่ภายในเครือข่ายภายในหรือหลัง VPN เท่านั้น และตรวจสอบว่าอินสแตนซ์ใดของตนเปิดออกสู่อินเทอร์เน็ตโดยตรงบ้าง

ผู้ใช้ Adobe Bridge ควรติดตั้งอัปเดตล่าสุดผ่าน Creative Cloud desktop และตรวจสอบให้แน่ใจว่าเครื่องในทีมออกแบบทุกเครื่องได้รับอัปเดตแล้ว เนื่องจากซอฟต์แวร์กลุ่มนี้มักถูกละเลยในรอบการแพตช์ขององค์กรที่โฟกัสเฉพาะระบบปฏิบัติการและเบราว์เซอร์ นอกจากนี้ควรตรวจสอบล็อกการเข้าถึงเซิร์ฟเวอร์ Campaign Classic ย้อนหลัง โดยเฉพาะคำขอที่ผิดปกติไปยัง endpoint ของระบบ และการเข้าถึงฐานข้อมูลที่ไม่สอดคล้องกับรูปแบบการใช้งานปกติ เพื่อยืนยันว่าไม่มีร่องรอยการถูกเจาะก่อนหน้าที่จะติดตั้งแพตช์

แหล่งอ้างอิง

• Adobe Campaign Classic CVSS 10.0 Flaw Could Run Code Without User Interaction — The Hacker News
• Security update available for Adobe Campaign — APSB26-114
• Security updates available for Adobe Bridge — APSB26-89