Adobe ha rilasciato il 29 luglio 2026 l'aggiornamento di sicurezza APSB26-114 per correggere una vulnerabilità di massima gravità in Adobe Campaign Classic. CVE-2026-48449 ha punteggio CVSS 10.0, il livello più alto della scala: un attaccante remoto non autenticato può eseguire codice arbitrario senza interazione dell'utente, con impatto totale su confidenzialità, integrità e disponibilità. La criticità del bollettino è amplificata dalla sua portata selettiva: interessa esclusivamente i deployment fully on-premise e i componenti on-premise di ambienti ibridi, mentre le istanze hosted da Adobe sono già state remediate senza azione dei clienti.
- CVE-2026-48449 ha CVSS 10.0 con vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H: exploitabile da rete, senza prerequisiti, con scope changed che indica impatto oltre il componente vulnerabile.
- La vulnerabilità è classificata CWE-863 Incorrect Authorization: un errore nei controlli di autorizzazione permette esecuzione di codice arbitrario nel contesto dell'utente del servizio.
- Le versioni affette sono ACC v7 fino alla build 9397 su Windows e Linux; la build 9398 è la correzione disponibile, con priorità rating 1, massima urgenza nella scala Adobe.
- Il bollettino si applica solo a deployment on-premise e componenti on-premise di ambienti ibridi: le istanze hosted sono già protette, creando una discontinuità di rischio tra SaaS e infrastructure proprietaria.
Il meccanismo: un errore di autorizzazione con impatto sistemico
Il record CVE ufficiale, confermato da NVD e dal bollettino Adobe, identifica la falla come CWE-863 Incorrect Authorization. Questa categoria indica che il software non implementa correttamente un controllo di autorizzazione, permettendo a un soggetto di agire al di fuori dei propri permessi previsti. Secondo l'advisory Adobe, la vulnerabilità "could result in arbitrary code execution in the context of the current user without requiring any user interaction".
Il vettore CVSS:3.1 completo — AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — è inequivocabile sulla superficie di attacco: accessibile via rete (AV:N), complessità dell'attacco bassa (AC:L), nessun privilegio richiesto (PR:N), nessuna interazione utente necessaria (UI:N). Il parametro S:C (scope changed) segnala che l'impatto supera il confine del componente vulnerabile, estendendosi ad altri componenti o risorse del sistema sottostante. Questa configurazione rappresenta la combinazione più pericolosa nella metodologia CVSS 3.1.
"This update addresses critical vulnerabilities that could result in arbitrary code execution and arbitrary file system read" — Adobe Security Bulletin APSB26-114
La discriminante on-premise: due velocità nella gestione del rischio
L'advisory Adobe contiene una specificità rara nei bollettini di sicurezza enterprise: una clausola di esclusione esplicita per le istanze cloud. "This security bulletin applies only to fully on-premise deployments and on-premise components of hybrid deployments", si legge nel testo ufficiale. "Adobe-hosted instances have already been remediated".
Questa distinzione operativa rivela una stratificazione del rischio che i team di sicurezza devono decodificare rapidamente. Le organizzazioni che hanno migrato i workload Campaign su infrastruttura Adobe sono protette per conto del vendor; quelle che mantengono il controllo diretto dei server, per ragioni di conformità, personalizzazione o residenza dei dati, devono agire autonomamente. Lo scenario ibrido aggiunge complessità: anche se la componente principale è hosted, eventuali nodi on-premise collegati richiedono patching indipendente.
La dicotomia solleva interrogativi sulla governance del rischio nei modelli multi-deployment. Secondo la fonte CyberPress, dal 11 agosto 2026 Adobe potrebbe consolidare CVE interne con stessa severità e CWE in un unico identificatore, un process change che segna una maturazione nella gestione delle vulnerabilità ma che non altera l'urgenza immediata per questa specifica falla.
Il contesto CVE-2026-48448: SQL injection con file system read
Il bollettino APSB26-114 corregge anche una seconda vulnerabilità, CVE-2026-48448, con punteggio CVSS 8.6 HIGH. Si tratta di una SQL injection che permette arbitrary file system read — lettura arbitraria del file system — con impatto su confidenzialità ma non su integrità o disponibilità, come riflette il vettore CVSS con C:H, I:N, A:N. Anche questa falla è senza interazione utente e senza privilegi richiesti, con scope changed.
La presenza di due vulnerabilità senza autenticazione nello stesso bollettino, entrambe con scope changed, suggerisce una superficie di attacco estesa nella gestione delle query e dei controlli di accesso di Campaign Classic. Il dossier non specifica se le due falle siano correlate tecnicamente o se rappresentino vettori indipendenti. Adobe non ha attribuito la scoperta a ricercatori esterni per nessuna delle due CVE.
Cosa fare adesso
- Applicare immediatamente la build 9398 su tutti i server ACC v7 on-premise e sui componenti on-premise di ambienti ibridi, per entrambe le piattaforme Windows e Linux. La priorità rating 1 indica massima urgenza nella scala Adobe.
- Verificare l'inventario dei deployment per identificare istanze ibride con componenti on-premise ancora esposti: la protezione automatica delle parti hosted non estende la copertura ai nodi locali.
- Confermare che CVE-2026-48448 sia inclusa nel ciclo di patching: la build 9398 corregge entrambe le vulnerabilità, ma la gestione separata delle due CVE nei sistemi di tracciamento interni rischia di far perdere la seconda falla.
- Documentare lo stato di remediation considerando che Adobe ha dichiarato di non essere a conoscenza di exploit in the wild al momento della pubblicazione; questa assenza di evidenza non elimina la superficie di attacco data dalla exploitabilità remota senza prerequisiti.
Lettura: il confine della responsabilità nel software enterprise
La struttura stessa del bollettino APSB26-114 funge da radiografia dei modelli di responsabilità nella sicurezza del software. Adobe ha correto la vulnerabilità nei propri sistemi hosted prima ancora di pubblicare l'advisory, mentre ha delegato ai clienti on-premise l'azione finale. Questa architettura di rischio — vendor-assurato nel cloud, self-assurato on-premise — è standard nel settore, ma la gravità massima della falla ne evidenzia i punti di tensione.
Il CVSS 10.0 senza prerequisiti di accesso rende CVE-2026-48449 un target ideale per la ricerca automatizzata di superfici vulnerabili. La dichiarazione di Adobe sull'assenza di exploit in the wild è una constatazione temporale, non una garanzia prognostica: la natura network-exploitable della falla riduce il tempo di reazione una volta che un PoC o un exploit diventino pubblici. Per i team di sicurezza, la discriminante non è più se patchare, ma se l'inventario on-premise sia completo e aggiornato alla build corretta.
Il consolidamento CVE previsto per l'11 agosto 2026, inoltre, introduce un elemento di discontinuità nel tracciamento: le organizzazioni che hanno integrato CVE-2026-48449 nei propri sistemi di gestione delle vulnerabilità dovranno verificare come Adobe gestirà la ridefinizione degli identificatori per falle future con profilo simile.
Fonti
- https://thehackernews.com/2026/08/adobe-campaign-classic-cvss-100-flaw.html
- https://thomasharris6.wordpress.com/2026/08/01/adobe-campaign-classic-cvss-10-0-flaw-could-run-code-without-user-interaction/
- https://www.techaiapp.com/cybersecurity/adobe-campaign-classic-cvss-10-0-flaw-could-run-code-without-user-interaction/
- https://www.tenable.com/cve/CVE-2026-48449
- https://gbhackers.com/critical-adobe-campaign-flaw/
- https://securityaffairs.com/196429/security/adobe-fixed-a-maximum-severity-vulnerability-flaw-in-campaign-classic.html
- https://gbhackers.com/critical-adobe-campaign-flaw/amp/
- https://cyberpress.org/critical-adobe-campaign-classic-flaws/?amp
- https://www.cve.org/CVERecord?id=CVE-2026-48449
- https://nvd.nist.gov/vuln/detail/CVE-2026-48449
- https://nvd.nist.gov/vuln-metrics/cvss/v2-calculator?vector=AV:N/AC:L/Au:N/C:C/I:C/A:C
- https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- https://helpx.adobe.com/security/products/campaign/apsb26-114.html
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.