Adobe — Corrección de Ocho Vulnerabilidades Críticas de Ejecución de Código y Omisión de Seguridad en Campaign Classic (CVE-2026-104351)

Fecha de publicación: 28 de octubre de 2026
Categoría: News / Web Security

Introducción

La empresa Adobe ha emitido un aviso de seguridad prioritario para corregir un conjunto de ocho fallos críticos de seguridad que afectan a su plataforma empresarial Adobe Campaign Classic. Estas vulnerabilidades, si son explotadas con éxito por actores maliciosos, pueden facilitar la ejecución de código arbitrario, la omisión de características de seguridad y la escalada de privilegios en los entornos donde se despliega el software. La investigación y el reporte de estas vulnerabilidades han dado pie a la publicación de parches oficiales por parte del fabricante a través del boletín de seguridad correspondiente, mitigando vectores que comprometen tanto la integridad como la confidencialidad de los servidores corporativos.

¿Qué es Adobe Campaign Classic y la Naturaleza del Riesgo? (Análisis General)

Adobe Campaign Classic (ACC) es una solución de gestión de campañas de marketing omnicanal orientada a grandes corporaciones, permitiendo la automatización de flujos de trabajo de mercadotecnia, bases de datos de clientes y envíos masivos de comunicaciones. Dada su naturaleza de integración profunda con bases de datos relacionales y su exposición en infraestructuras web, cualquier fallo en su arquitectura representa una puerta de entrada idónea para atacantes que buscan un punto de pivotaje hacia la red interna de una organización.

Las ocho vulnerabilidades corregidas abarcan distintas categorías de debilidades de software registradas oficialmente en el National Vulnerability Database (NVD). Los detalles confirmados de severidad y clasificación de vectores se desglosan en las siguientes secciones, destacando que no se requiere interacción por parte del usuario para la explotación de la mayoría de estos vectores bajo privilegios bajos (PR:L).

¿Cómo funciona? (Análisis Técnico)

El análisis del conjunto de vulnerabilidades revela un patrón recurrente de fallos en la validación de entradas, el control de acceso y la generación dinámica de código dentro de la arquitectura de Adobe Campaign Classic.

  • Flujo inicial de entrada y vectores de inyección: Los atacantes con privilegios de nivel bajo pueden aprovechar las debilidades de control de generación de código (CWE-94), inyección de comandos a nivel de sistema operativo (CWE-78) e inyecciones SQL (CWE-89) mediante solicitudes HTTP manipuladas enviadas directamente a los puntos finales vulnerables del servidor ACC.
  • Ejecución y omisión de controles: Vulnerabilidades como CVE-2026-105781 permiten la ejecución de comandos SQL sin necesidad de privilegios (PR:N), otorgando al atacante la capacidad de manipular consultas subyacentes para obtener acceso elevado. Asimismo, fallos de autorización incorrecta (CWE-863, como en CVE-2026-105780) permiten saltarse restricciones lógicas de la aplicación.
  • Explotación del lado del cliente (XSS Reflejado): El vector CVE-2026-104350 introduce un escenario de Cross-Site Scripting reflejado (CWE-79) que requiere interacción del usuario (visitar un enlace malicioso), facilitando la escalada de privilegios mediante el secuestro de sesiones administrativas.

Sistemas / Entornos Afectados

Las vulnerabilidades impactan directamente a las implementaciones de Adobe Campaign Classic versiones 7.4.4 build 9402 y anteriores desplegadas en plataformas Windows y Linux.

Asimismo, Adobe ha solucionado un fallo crítico independiente de inyección de código en Adobe Connect Desktop and Mobile (rastreado como CVE-2026-48360, con una puntuación CVSS de 9.6) para Windows, macOS y Android.

CVE Categoría (CWE) Impacto CVSS Vector (Resumido)
CVE-2026-104351 CWE-94 (Code Injection) Ejecución de Código 9.9 AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CVE-2026-104353 CWE-78 (OS Command Injection) Ejecución de Código 9.9 AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CVE-2026-105780 CWE-863 (Incorrect Authorization) Ejecución de Código 9.9 AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CVE-2026-105489 CWE-89 (SQL Injection) Ejecución de Código 9.9 AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CVE-2026-105781 CWE-89 (SQL Injection) Omisión de Seguridad 10.0 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVE-2026-104350 CWE-79 (Reflected XSS) Escalada de Privilegios 9.3 AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
CVE-2026-104354 CWE-89 (SQL Injection) Omisión de Seguridad 9.1 AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CVE-2026-105779 CWE-89 (SQL Injection) Omisión de Seguridad 9.1 AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L

Mitigación y Detección

Remediación

Los administradores de sistemas y equipos de infraestructura deben aplicar de inmediato las actualizaciones provistas por el fabricante:

  • Adobe Campaign Classic: Actualizar a la versión 7.4.4 build 9403 tanto en entornos Windows como Linux.
  • Adobe Connect Desktop: Actualizar a la versión 2026.9.61 en Windows, versión 2026.10.66 en macOS Silicon, versión 2026.10.170 en macOS Intel, y versión 4.5 para Android.

Detección

Los equipos defensivos (Blue Teams) deben auditar los registros de acceso web y de base de datos en busca de patrones anómalos de consultas SQL, caracteres especiales orientados a inyección de comandos o solicitudes HTTP sospechosas dirigidas a los componentes de Campaign Classic.

Advertencia de Inteligencia de Amenazas: La presencia de múltiples vulnerabilidades críticas de ejecución remota de código sin necesidad de interacción del usuario incrementa drásticamente el riesgo de explotación automatizada. Se recomienda aislamiento de red perimetral mientras se aplican los parches.

Recapitulando

La revelación y pronta corrección de este lote de ocho vulnerabilidades críticas en Adobe Campaign Classic pone de manifiesto la complejidad de asegurar plataformas empresariales con una profunda integración en bases de datos y motores de ejecución dinámica. Aunque hasta el momento el fabricante no ha reportado casos de explotación activa en la naturaleza (in the wild), la severidad técnica de los fallos —llegando a puntuaciones CVSS de hasta 10.0— exige una respuesta inmediata por parte de los administradores de sistemas para evitar brechas de seguridad catastróficas.

Referencias