Adobe khẩn cấp vá lỗ hổng CVSS 10 ảnh hưởng nền tảng Campaign Classic

[Yuki Chen]

Adobe đã phát hành bản cập nhật bảo mật khẩn cấp để khắc phục lỗ hổng nghiêm trọng nhất trong nền tảng Adobe Campaign Classic (ACC) - giải pháp tự động hóa tiếp thị dành cho doanh nghiệp. Lỗ hổng có mã CVE-2026-48449, được chấm điểm CVSS là 10, có thể cho phép kẻ tấn công thực thi mã tùy ý trên hệ thống bị ảnh hưởng.
​

Lỗ hổng có thể dẫn đến thực thi mã không cần tương tác. Theo Adobe, CVE-2026-48449 bắt nguồn từ lỗi kiểm soát phân quyền không chính xác. Nếu khai thác thành công, lỗ hổng cho phép thực thi mã với quyền của người dùng hiện tại mà không yêu cầu bất kỳ thao tác nào từ phía nạn nhân, khiến mức độ rủi ro trở nên đặc biệt nghiêm trọng đối với các hệ thống triển khai Adobe Campaign Classic.

Bên cạnh đó, Adobe cũng khắc phục lỗ hổng CVE-2026-48448 (CVSS 8,6), một lỗi SQL Injection có thể bị lợi dụng để đọc trái phép các tệp trên hệ thống. Hiện hai lỗ hổng đã được vá trong Adobe Campaign Classic v7.4.3 build 9398 dành cho cả Windows và Linux.​

Chưa ghi nhận khai thác nhưng cần cập nhật sớm​

Adobe cho biết chưa ghi nhận bằng chứng cho thấy các lỗ hổng này đang bị khai thác ngoài thực tế. Tuy nhiên, với điểm CVSS tối đa và khả năng thực thi mã, các tổ chức đang sử dụng Adobe Campaign Classic nên ưu tiên cập nhật bản vá sớm để giảm thiểu nguy cơ bị tấn công.

Adobe cũng khuyến nghị người dùng kiểm tra phiên bản đang triển khai và nâng cấp lên bản phát hành mới nhất để đảm bảo an toàn. Adobe đồng thời vá nhiều lỗ hổng trên Bridge

Ngoài Campaign Classic, Adobe cũng phát hành bản cập nhật cho Adobe Bridge, khắc phục 8 lỗ hổng mức nghiêm trọng có thể dẫn đến leo thang đặc quyền hoặc thực thi mã tùy ý. Các lỗ hổng này bao gồm lỗi đường dẫn không tin cậy, phân quyền không chính xác, Path Traversal và Out-of-Bounds Write.

Mặc dù chưa có dấu hiệu bị khai thác trong thực tế, Adobe khuyến nghị người dùng cập nhật đầy đủ các bản vá mới nhất để đảm bảo an toàn cho hệ thống.​