Adobe menerbitkan dua bulletin keamanan pada 27 Oktober yang menutup sembilan celah berperingkat kritis. Delapan di antaranya ada di Adobe Campaign Classic, platform pemasaran yang dipakai untuk mengirim email dan kampanye ke pelanggan. Satu lagi ada di aplikasi Adobe Connect untuk desktop dan Android. Adobe menyatakan belum mengetahui adanya eksploitasi di dunia nyata untuk celah-celah ini.
Apa yang diperbaiki di Campaign Classic
Bulletin APSB26-162 mencakup Campaign Classic v7 versi 7.4.4 build 9402 dan yang lebih lama, baik di Windows maupun Linux. Tiga celah berskor CVSS 9,9 memungkinkan eksekusi kode sembarang: CVE-2026-104351 (injeksi kode), CVE-2026-104353 (injeksi perintah sistem operasi), dan CVE-2026-105780 (otorisasi yang salah). Adobe memberi bulletin ini prioritas 2.
Lima celah lain berkaitan dengan injeksi SQL dan skrip lintas situs. CVE-2026-105489 (9,9), CVE-2026-105781 (9,8), CVE-2026-104354 (9,1), dan CVE-2026-105779 (9,1) adalah injeksi SQL yang berdampak pada pelewatan fitur keamanan. CVE-2026-104350 (9,3) adalah XSS terpantul yang dapat berujung pada eskalasi hak akses. Semua perbaikan ada di Campaign Classic 7.4.4 build 9403.
Celah di Adobe Connect
Bulletin APSB26-182 menutup CVE-2026-48360, injeksi kode berskor CVSS 9,6 yang bisa menjalankan kode sembarang. Versi terdampak adalah Connect Desktop untuk Windows 2026.8.51 ke bawah, Mac Silicon 2026.08.45 ke bawah, Mac Intel 2026.01.39 ke bawah, dan Connect Mobile untuk Android 4.4 ke bawah. Versi yang sudah diperbaiki adalah Windows 2026.9.61, Mac Silicon 2026.10.66, Mac Intel 2026.10.170, dan Android 4.5.
Adobe sebelumnya juga menjadi sorotan lewat celah Magento yang kini diserang aktif, seperti kami tulis di liputan PolyShell Adobe Commerce. Berbeda dengan kasus itu, sembilan celah kali ini belum tercatat dieksploitasi.
Langkah yang perlu diambil
Tim yang mengelola Campaign Classic sendiri perlu memperbarui ke 7.4.4 build 9403 dan mengikuti petunjuk instalasi di catatan rilis Adobe. Pengguna Adobe Connect sebaiknya memasang versi terbaru di desktop dan ponsel. Adobe tidak menyebut solusi sementara, jadi pembaruan adalah satu-satunya mitigasi resmi. Perusahaan yang menyimpan daftar pelanggan di Campaign Classic punya alasan tambahan untuk tidak menunda, karena skor CVSS tinggi pada celah seperti ini sering menarik perhatian penyerang setelah detailnya beredar.
Sumber: Adobe APSB26-162, Adobe APSB26-182, dan The Hacker News. Gambar: The Hacker News.