Im Mittelpunkt des Updates steht CVE-2026-48449 in Adobe Campaign Classic. Die Schwachstelle erreicht einen CVSS-Wert von 10,0 und ist damit mit der maximalen Schwere eingestuft. Adobe beschreibt sie als fehlerhafte Autorisierung, durch die sich beliebiger Code im Kontext des aktuellen Nutzers ausführen lassen könnte, ohne dass ein Anwender eingreifen muss.
Zusätzlich hat Adobe CVE-2026-48448 behoben. Diese zweite Lücke ist mit 8,6 nach CVSS bewertet und geht auf eine SQL-Injection zurück. Laut Hersteller könnte sie den Weg für das beliebige Auslesen von Dateien ebnen.
Adobe formulierte in seinem Sicherheitshinweis, das Update behebe kritische Schwachstellen, die zu beliebiger Codeausführung und zu beliebigem Lesen des Dateisystems führen könnten. Zugleich teilte das Unternehmen mit, ihm seien keine Angriffe bekannt, bei denen diese Fehler bereits in freier Wildbahn ausgenutzt wurden.
Die beiden Schwachstellen in Campaign Classic wurden in ACC v7 beseitigt, konkret in Version 7.4.3 Build 9398 für Windows und Linux.
Unabhängig davon hat Adobe auch Sicherheitsupdates für Adobe Bridge veröffentlicht. Dort behebt der Hersteller acht als kritisch eingestufte Schwachstellen, die laut Adobe zu Rechteausweitung und beliebiger Codeausführung führen könnten.
Adobe schreibt die Entdeckung und Meldung mehrerer dieser Bridge-Lücken dem Sicherheitsforscher Kieran („kaiksi“) zu. Er wird für CVE-2026-48390, CVE-2026-48391, CVE-2026-48395, CVE-2026-48396 und CVE-2026-48374 genannt. Die weiteren drei Schwachstellen – CVE-2026-48392, CVE-2026-48393 und CVE-2026-48394 – wurden nach Angaben des Unternehmens von „yjdfy“ gemeldet.
Damit decken die aktuellen Adobe-Updates zwei verschiedene Produktlinien ab: die Unternehmensplattform Campaign Classic und die Anwendung Adobe Bridge. Während bei Campaign Classic eine einzelne Lücke mit maximaler CVSS-Bewertung herausragt, umfasst das Bridge-Update gleich acht kritische Fehler. In beiden Fällen stammen die Informationen zu Schweregrad, Auswirkungen und Behebung direkt von Adobe.