สรุปสั้น
Adobe Campaign Classic คือ แพลตฟอร์มทำแคมเปญการตลาดของบริษัท Adobe ที่องค์กรใช้ส่งอีเมลและข้อความถึงลูกค้าจำนวนมาก จึงเก็บทั้งฐานข้อมูลลูกค้าและเชื่อมกับระบบหลังบ้านหลายส่วน ผลิตภัณฑ์นี้ถูกแพตช์ช่องโหว่ร้ายแรงมาแล้วหลายรอบในปีนี้ ล่าสุด Adobe ออกแพตช์ตามประกาศ APSB26-162 อุด 8 ช่องโหว่ระดับวิกฤตใน Campaign Classic เวอร์ชัน 7.4.4 build 9402 และก่อนหน้า ทั้งบน Windows และ Linux โดย 3 ตัวคะแนน CVSS 9.9 เปิดทางให้รันโค้ดบนเซิร์ฟเวอร์ได้ ส่วนที่เหลือเป็นช่องโหว่ SQL injection ที่ข้ามกลไกความปลอดภัย และ XSS ที่ยกระดับสิทธิ์ได้
ในรอบเดียวกัน Adobe ยังอุดช่องโหว่ code injection CVE-2026-48360 คะแนน 9.6 ใน Adobe Connect ทั้งแอปเดสก์ท็อปและแอปมือถือ ซึ่งเปิดทางรันโค้ดบนเครื่องผู้ใช้ Adobe ระบุว่ายังไม่พบการโจมตีจริงสำหรับช่องโหว่ใดในรอบนี้ แต่ด้วยคะแนนที่สูงเกือบเต็มทุกตัว และ Campaign Classic มักเปิดสู่เครือข่ายเพื่อรับส่งข้อมูลแคมเปญ ผู้ดูแลควรอัปเดตเป็น 7.4.4 build 9403 โดยเร็ว
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 28 ตุลาคม 2569 ว่า Adobe ออกแพตช์แก้ช่องโหว่วิกฤตหลายรายการใน Campaign Classic ซึ่งหากถูกโจมตีสำเร็จอาจนำไปสู่การรันโค้ดตามใจผู้โจมตี การข้ามกลไกความปลอดภัย และการยกระดับสิทธิ์ ช่องโหว่ทั้ง 8 รายการกระทบ Campaign Classic เวอร์ชัน 7.4.4 build 9402 และก่อนหน้าบน Windows และ Linux และแก้แล้วใน 7.4.4 build 9403
ตามประกาศ APSB26-162 ช่องโหว่ 4 ตัวได้คะแนน 9.9 เท่ากัน ได้แก่ code injection 1 ตัว การแทรกคำสั่งระบบปฏิบัติการ 1 ตัว การตรวจสิทธิ์ผิดพลาด 1 ตัว ซึ่งทั้ง 3 ตัวนำไปสู่การรันโค้ด และ SQL injection อีก 1 ตัว ส่วนช่องโหว่ที่เหลือคะแนนระหว่าง 9.1 ถึง 9.8
ส่วนประกาศ APSB26-182 แก้ CVE-2026-48360 ใน Adobe Connect แพลตฟอร์มประชุมออนไลน์และสัมมนาผ่านเว็บของ Adobe เวอร์ชันที่แก้แล้ว คือ Connect Desktop บน Windows 2026.9.61 บน macOS ชิป Apple Silicon 2026.10.66 บน macOS ชิป Intel 2026.10.170 และ Connect Mobile สำหรับ Android 4.5
Adobe ระบุว่ายังไม่ทราบว่ามีการโจมตีจริงสำหรับช่องโหว่ใดในรอบนี้ ข้อจำกัดของข้อมูลที่ควรรู้ คือ ประกาศไม่ได้บอกว่าช่องโหว่แต่ละตัวต้องล็อกอินก่อนหรือไม่ และไม่ได้อธิบายขั้นตอนการโจมตี จึงยังประเมินไม่ได้ว่าโจมตีจากภายนอกได้ง่ายเพียงใด
รายละเอียดช่องโหว่
ช่องโหว่ที่นำไปสู่การรันโค้ด — กลุ่มนี้อันตรายที่สุด เพราะผู้โจมตีอาจสั่งงานเซิร์ฟเวอร์ Campaign Classic ได้โดยตรง
| CVE | ประเภท | CVSS | ผลลัพธ์ |
|---|---|---|---|
| CVE-2026-104351 | Code injection | 9.9 | รันโค้ดตามใจผู้โจมตี |
| CVE-2026-104353 | OS command injection | 9.9 | รันโค้ดตามใจผู้โจมตี |
| CVE-2026-105780 | ตรวจสิทธิ์ผิดพลาด (incorrect authorization) | 9.9 | รันโค้ดตามใจผู้โจมตี |
ช่องโหว่ที่ข้ามกลไกความปลอดภัยและยกระดับสิทธิ์ — กลุ่มนี้ส่วนใหญ่เป็น SQL injection ซึ่งเปิดทางให้แทรกคำสั่งเข้าไปในการสอบถามฐานข้อมูล และอาจเข้าถึงข้อมูลลูกค้าที่ Campaign Classic เก็บไว้ได้
| CVE | ประเภท | CVSS | ผลลัพธ์ |
|---|---|---|---|
| CVE-2026-105489 | SQL injection | 9.9 | ข้ามกลไกความปลอดภัย |
| CVE-2026-105781 | SQL injection | 9.8 | ข้ามกลไกความปลอดภัย |
| CVE-2026-104350 | Reflected XSS | 9.3 | ยกระดับสิทธิ์ |
| CVE-2026-104354 | SQL injection | 9.1 | ข้ามกลไกความปลอดภัย |
| CVE-2026-105779 | SQL injection | 9.1 | ข้ามกลไกความปลอดภัย |
Adobe Connect: CVE-2026-48360 — ช่องโหว่ code injection คะแนน 9.6 ในแอปเดสก์ท็อปบน Windows และ macOS และแอปมือถือบน Android เปิดทางรันโค้ดบนเครื่องของผู้ใช้ ประกาศไม่ได้ระบุว่าต้องให้ผู้ใช้ทำอะไรก่อน เช่น เข้าร่วมห้องประชุมที่ผู้โจมตีเตรียมไว้
ผลกระทบ
กลุ่มที่ได้รับผลกระทบโดยตรง คือ องค์กรที่ติดตั้ง Campaign Classic เองบนเซิร์ฟเวอร์ Windows หรือ Linux ซึ่งมักเป็นธุรกิจค้าปลีก การเงิน และบริการที่ส่งแคมเปญถึงลูกค้าจำนวนมาก แม้ยังไม่มีการโจมตีจริง แต่คะแนน 9.1–9.9 ทุกตัวบ่งชี้ว่าเงื่อนไขการโจมตีไม่ซับซ้อนและผลเสียหายสูง
ผลจริงหากถูกเจาะ คือ ผู้โจมตีอาจยึดเซิร์ฟเวอร์แคมเปญ ดึงฐานข้อมูลลูกค้าที่มีทั้งชื่อ อีเมล และพฤติกรรมการซื้อ หรือใช้ระบบส่งอีเมลขององค์กรเองส่งฟิชชิงถึงลูกค้า ซึ่งน่าเชื่อถือกว่าอีเมลปลอมทั่วไปมาก ส่วนช่องโหว่ใน Connect กระทบผู้ใช้ปลายทางที่ใช้แอปประชุมของ Adobe
คำแนะนำ
- อัปเดต Campaign Classic ทันที — ยกระดับเป็นเวอร์ชัน 7.4.4 build 9403 ทั้งบน Windows และ Linux โดยเฉพาะเซิร์ฟเวอร์ที่เปิดสู่อินเทอร์เน็ต
- อัปเดต Adobe Connect — Windows 2026.9.61, macOS Apple Silicon 2026.10.66, macOS Intel 2026.10.170 และ Android 4.5 ขึ้นไป
- จำกัดการเข้าถึงระหว่างรอแพตช์ — หากยังอัปเดตไม่ได้ ให้จำกัดการเข้าถึงหน้าจัดการและ API ของ Campaign Classic ให้มาจากเครือข่ายภายในหรือ IP ที่กำหนดเท่านั้น
- ตรวจร่องรอย — ไล่ล็อกเว็บและฐานข้อมูลของ Campaign Classic หาคำขอที่มีรูปแบบ SQL injection หรือการรันคำสั่งระบบที่ผิดปกติจากโปรเซสของแอปพลิเคชัน
- ระยะยาว — ให้บัญชีฐานข้อมูลที่ Campaign Classic ใช้มีสิทธิ์เท่าที่จำเป็น เพื่อลดความเสียหายหากถูก SQL injection