⚠️ VULNERABILIDAD CRÍTICA | CVE-2026-48449 en Adobe Campaign Classic: CVSS 10.0 con RCE sin interacción del usuario. Adobe publicó hoy parches de emergencia para Adobe Campaign Classic (ACC), su plataforma de automatización de marketing empresarial, con una vulnerabilidad de severidad máxima que permite ejecución de código arbitrario sin ninguna interacción del usuario. Sin explotación activa reportada al momento del advisory. CVSS: 10.0 (Crítico) 🔍 Vulnerabilidades parcheadas 1️⃣ CVE-2026-48449 (CVSS 10.0): Autorización incorrecta en Adobe Campaign Classic que permite RCE en el contexto del usuario actual sin requerir interacción. Vector de red, sin autenticación previa requerida. Impacto total en confidencialidad, integridad y disponibilidad. El CVSS 10.0 es la calificación máxima posible. 2️⃣ CVE-2026-48448 (CVSS 8.6): SQL Injection en ACC que permite lectura arbitraria del sistema de archivos. Combinado con el RCE anterior, un atacante podría exfiltrar configuraciones sensibles, credenciales de base de datos y datos de campañas de clientes antes de comprometer el sistema. Versión corregida: ACC v7 build 9398 disponible para Windows y Linux. 3️⃣ Adobe Bridge: 8 vulnerabilidades críticas adicionales parcheadas en el mismo ciclo. Destacan CVE-2026-48395 y CVE-2026-48396 (CVSS 8.6) con RCE via untrusted search path y autorización incorrecta, CVE-2026-48390 (CVSS 8.6) con escalada de privilegios, y cuatro vulnerabilidades de out-of-bounds write y path traversal con CVSS entre 7.8 y 8.2. 🛡️ Recomendaciones ISO 27001 ✅ A.12.6 Gestión de vulnerabilidades: Actualiza Adobe Campaign Classic a la versión 7.4.3 build 9398 de inmediato en todos los entornos Windows y Linux. Con CVSS 10.0 y vector de red sin autenticación, esta vulnerabilidad debe tener la prioridad más alta en la cola de parchado de hoy. ✅ A.13.1 Segmentación de red: Si el parche no puede aplicarse de inmediato, restringe el acceso a los puertos de ACC a IPs corporativas aprobadas mediante firewall perimetral. Reducir la superficie de exposición de red es el control compensatorio más efectivo mientras se despliega el parche. ✅ A.12.4 Monitoreo: Habilita logging detallado en ACC y monitorea intentos de acceso no autorizados, ejecución de consultas SQL inusuales y procesos hijo generados por el servidor de Campaign. Aunque Adobe indica que no hay explotación activa, el disclosure público aumenta el riesgo de weaponización. Versiones afectadas: ACC v7 anteriores a build 9398 Fix: Actualizar a ACC v7.4.3 build 9398 🔗 https://thehackernews.com/2026/08/adobe-campaign-classic-cvss-100-flaw.html 🔗 Advisory Adobe: https://helpx.adobe.com/security/products/campaign/apsb26-114.html #CyberSecurity #Adobe #CVE202648449 #RCE #CVSS10 #AdobeCampaign #VulnerabilityManagement #PatchNow #ISO27001 #HInsideSecurity #DFIR #SQLInjection #EnterpriseSecurity #RedTeam
Post summary
Adobe released emergency patches for CVE-2026-48449 (RCE CVSS 10.0) in Campaign Classic, providing versioning details, mitigation steps, and no evidence of active exploitation.
