Adobe, Campaign Classic için yayımladığı son güncellemeyle uzaktan kullanıcı etkileşimi olmadan kod çalıştırmaya yol açabilecek kritik bir açığı kapattı. CVE-2026-48449 olarak izlenen hata, yanlış yetkilendirme kaynaklı ve CVSS tablosunda 10.0 puan aldı.
Şirketin duyurusuna göre aynı pakette, SQL enjeksiyonu üzerinden dosya okuma imkânı doğurabilecek bir başka yüksek riskli sorun da giderildi. CVE-2026-48448 olarak takip edilen bu açık 8.6 CVSS puanına sahip.
ACC v7 için yayınlanan yama
Adobe, iki açığın da Windows ve Linux için ACC v7 7.4.3 build 9398 sürümünde kapatıldığını bildirdi. Şirket, bu açıkların sahada aktif olarak kullanıldığına dair bir bilgiye sahip olmadığını da belirtti.
CVE-2026-48449’daki hata, sistemdeki mevcut kullanıcı bağlamında rastgele kod çalıştırılmasına izin verebilecek yanlış yetkilendirme sorunundan kaynaklanıyor. CVE-2026-48448 ise SQL enjeksiyonu zafiyeti üzerinden dosya sisteminden keyfi okuma yapılmasının önünü açabiliyor. Adobe, güncellemenin “arbitrary code execution” ve “arbitrary file system read” risklerini hedef aldığını vurguladı.
Yama notlarında CVE kayıtları için NVD bağlantıları da yer alıyor: CVE-2026-48449 ve CVE-2026-48448.
Adobe aynı dönemde Adobe Bridge için de sekiz kritik düzeyde açığı kapatan ayrı bir güncelleme yayımladı. Bu açıklar arasında yetki yükseltme, keyfi kod çalıştırma, yol geçişi ve bellek sınırlarını aşan yazma hataları bulunuyor.
Bridge tarafındaki CVE’ler şöyle sıralandı: CVE-2026-48395, CVE-2026-48396, CVE-2026-48390, CVE-2026-48391, CVE-2026-48374, CVE-2026-48392, CVE-2026-48393 ve CVE-2026-48394. İlk iki açık 8.6, üçüncü ve dördüncü açık 8.6 ve 8.2, diğer dört açık ise 7.8 CVSS puanıyla listelendi.
Şirkete göre Kieran, çevrimiçi kullandığı adıyla “kaiksi”, CVE-2026-48390, CVE-2026-48391, CVE-2026-48395, CVE-2026-48396 ve CVE-2026-48374’ü bildirdi. “yjdfy” takma adlı araştırmacı da CVE-2026-48392, CVE-2026-48393 ve CVE-2026-48394’ü ortaya çıkardı.
Adobe, kullanıcıların en güncel sürümleri yüklemesini istedi.