A Adobe corrigiu uma vulnerabilidade de gravidade máxima no Adobe Campaign Classic que permite execução remota de código sem qualquer interação do utilizador. Segundo o boletim de segurança oficial da empresa (APSB26-114), a falha, identificada como CVE-2026-48449, resulta de uma autorização incorreta e recebeu a pontuação máxima de 10.0 na escala CVSS. A mesma atualização resolve ainda uma segunda vulnerabilidade de alta gravidade relacionada com injeção SQL. Ambas afetam apenas instâncias no local (on-premise) da plataforma de gestão de campanhas de marketing da Adobe.
Resposta rápida: A Adobe lançou a correção para a CVE-2026-48449 (CVSS 10.0), uma falha de autorização incorreta no Campaign Classic que permite execução de código sem interação do utilizador. Afeta apenas instalações no local até à versão 7.4.3 build 9397. As organizações devem atualizar de imediato para a build 9398. A Adobe indica não ter conhecimento de exploração ativa até à data.
O que foi corrigido
O boletim APSB26-114 tem prioridade 1 — a categoria mais urgente da Adobe — e abrange duas vulnerabilidades no Adobe Campaign Classic v7. Investigadores de segurança descrevem a mais grave como uma falha de autorização incorreta (CWE-863) com pontuação CVSS máxima de 10.0. A vulnerabilidade foi descrita como um caso de autorização incorreta que pode resultar em execução arbitrária de código no contexto do utilizador atual sem exigir qualquer interação do utilizador.
A segunda falha, CVE-2026-48448, tem gravidade elevada. A atualização resolve também esta falha (CVSS 8.6), decorrente de injeção SQL, que poderia abrir caminho a leituras arbitrárias de ficheiros. Nas palavras da Adobe, a atualização “aborda vulnerabilidades críticas que podem resultar em execução arbitrária de código e leitura arbitrária do sistema de ficheiros”.
Quanto ao risco de exploração, a empresa referiu não ter conhecimento de qualquer das falhas estar a ser explorada em ambiente real no momento da publicação.
Versões afetadas e correção
O aviso aplica-se exclusivamente a instâncias no local do Adobe Campaign, incluindo implementações totalmente on-premise e os componentes on-premise de implementações híbridas. Segundo o boletim, as vulnerabilidades afetam o Adobe Campaign Classic v7.4.3 build 9397 e versões anteriores, tanto em Windows como em Linux. A Adobe confirmou que as suas instâncias alojadas já foram corrigidas, reduzindo a exposição para clientes em modelo gerido na nuvem.
Ambas as falhas foram resolvidas na ACC v7: 7.4.3 build 9398 para Windows e Linux, versão para a qual as organizações on-premise devem migrar sem demora.
| Identificador | Tipo de falha | Impacto | CVSS |
|---|---|---|---|
CVE-2026-48449 | Autorização incorreta (CWE-863) | Execução arbitrária de código | 10.0 (Crítica) |
CVE-2026-48448 | Injeção SQL | Leitura arbitrária de ficheiros | 8.6 (Elevada) |
Porque é que uma pontuação 10.0 é tão preocupante
O vetor CVSS publicado ajuda a explicar a gravidade. A vulnerabilidade é classificada sob o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, o que indica exploração baseada em rede, baixa complexidade de ataque e impacto elevado em confidencialidade, integridade e disponibilidade. Por outras palavras, um atacante com acesso de rede à instância vulnerável poderá, em teoria, executar código sem precisar de credenciais nem de enganar um utilizador legítimo.
O detalhe técnico de exploração continua limitado e, até à data, não há prova de conceito pública conhecida para esta falha específica. Ainda assim, a combinação de pontuação máxima, ausência de autenticação e alteração de âmbito (scope changed) coloca este tipo de vulnerabilidade entre os alvos mais atrativos para acesso inicial a redes empresariais.
Um padrão que se repete no Campaign Classic
Esta não é a primeira falha de autorização de gravidade máxima no produto em 2026. No final de junho, a Adobe resolveu a CVE-2026-48286 (também CVSS 10.0), uma falha de autorização incorreta que permitia execução arbitrária de código, corrigida na build 9397. Antes disso, em junho, o boletim APSB26-66 tratou uma falha semelhante. O ritmo reflete uma decisão da própria empresa: a Adobe passou de publicação mensal para bimensal de boletins e avisos de segurança, na segunda e quarta terças-feiras de cada mês.
Recomendações de mitigação
- Atualizar as instâncias on-premise do Adobe Campaign Classic para a
v7.4.3 build 9398com prioridade máxima. - Rever os registos de acesso ao sistema em busca de atividade suspeita anterior à atualização.
- Restringir o acesso externo aos servidores de campanha e aplicar segmentação de rede.
- Considerar regras de web application firewall (WAF) para detetar tentativas de exploração.
- Monitorizar indicadores como consultas SQL invulgares, padrões de acesso não autorizado a ficheiros e execução de processos inesperados nos servidores.
Estas medidas defensivas complementares — restringir o acesso externo, implementar segmentação de rede e aplicar regras de WAF — são particularmente relevantes para organizações que não possam aplicar o patch de imediato.
Porque é que isto importa em Portugal
O Adobe Campaign Classic é uma plataforma de gestão de campanhas de marketing que armazena e processa grandes volumes de dados de contactos e clientes. Uma execução de código não autenticada num servidor destes pode significar acesso direto a bases de dados de titulares, com implicações imediatas ao abrigo do RGPD: uma violação que exponha dados pessoais pode obrigar à notificação à CNPD no prazo de 72 horas e, consoante o risco, à comunicação aos próprios titulares.
Para empresas abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a diretiva NIS2), a gestão atempada de vulnerabilidades e a resposta a incidentes deixaram de ser boas práticas facultativas para se tornarem obrigações. A aplicação diligente de correções de segurança prioritárias, como esta, faz parte das medidas de gestão de risco esperadas. O CNCS, através do CERT.PT, acompanha e divulga avisos sobre vulnerabilidades críticas com potencial de exploração, sendo recomendável às equipas técnicas nacionais consultar esses canais oficiais e o inventário de ativos expostos.
Perguntas frequentes
A minha instância do Adobe Campaign na nuvem está em risco?
Não. A Adobe confirmou que as instâncias alojadas por si já foram corrigidas e não exigem qualquer ação. O aviso aplica-se apenas a implementações totalmente on-premise e aos componentes on-premise de ambientes híbridos.
Qual é a versão que corrige a falha?
As duas vulnerabilidades foram resolvidas na Adobe Campaign Classic v7: 7.4.3 build 9398, disponível para Windows e Linux. Versões até à build 9397 estão afetadas.
Já existe exploração ativa desta vulnerabilidade?
Segundo a Adobe, não havia conhecimento de exploração em ambiente real no momento da publicação do boletim, e não é conhecida prova de conceito pública. Ainda assim, a prioridade 1 sinaliza risco elevado, pelo que a atualização deve ser imediata.
Porque é que a CVE-2026-48449 tem pontuação 10.0?
Porque o seu vetor CVSS indica exploração pela rede, sem privilégios nem interação do utilizador, com impacto máximo em confidencialidade, integridade e disponibilidade e alteração de âmbito. Esta combinação atinge o valor máximo da escala.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Adobe (boletim APSB26-114), pela base de dados de vulnerabilidades da Tenable e por investigadores de segurança.