Die gefährlichsten Systeme im Unternehmen tragen selten den Namen, den Sicherheitsabteilungen ihnen geben würden. Sie heißen nicht Firewall, Identitätsplattform oder Produktionssteuerung. Manchmal heißen sie Marketing-Automatisierung.
Adobe Campaign Classic ist genau so ein System: nah an Kundendaten, verbunden mit Kampagnenlogik, Schnittstellen, Segmenten, Datenbanken und internen Prozessen. Für das Marketing ist es Arbeitsmittel. Für die IT ist es oft eine Fachanwendung. Für Angreifer kann es Infrastruktur sein.
Mit CVE-2026-48449 hat Adobe eine Schwachstelle in Campaign Classic v7 geschlossen, die mit dem maximalen CVSS-Wert 10.0 bewertet ist. Es handelt sich um eine Incorrect-Authorization-Lücke. Unauthentifizierte Angreifer können über das Netzwerk beliebigen Code ausführen, ohne dass ein Nutzer klicken, eine Datei öffnen oder sonst wie mitwirken muss. Betroffen sind Versionen bis einschließlich Build 7.4.3.9397 unter Windows und Linux. Adobe stellt mit ACC v7: 7.4.3 Build 9398 ein Sicherheitsupdate bereit.
Das ist keine gewöhnliche Patch-Meldung. Der Fall zeigt, wie falsch viele Unternehmen das Risiko ihrer Marketing-Technologie bilanzieren.
Marketing-Software ist kein Randbereich
In vielen Organisationen wird die Sicherheitsarchitektur noch immer entlang klassischer Kategorien gedacht: Identität, Endgeräte, Netzwerk, Cloud, ERP, vielleicht Produktion. Marketingplattformen landen oft in einer Zwischenzone. Sie sind wichtig genug, um mit Kundendaten und externen Kanälen zu arbeiten, aber nicht immer wichtig genug, um denselben Sicherheitsdruck zu bekommen wie Systeme im Finanz- oder Produktionsumfeld.
Genau dort liegt das Problem. Adobe Campaign Classic verarbeitet keine belanglosen Daten. Die Plattform dient der Verwaltung von Kundenbeziehungen und Kampagnen. Sie ist typischerweise an Datenquellen angebunden, die Profile, Kontaktinformationen, Segmentierungen und Kampagnenhistorien enthalten können. In vielen Setups steht sie nicht isoliert, sondern ist Teil eines größeren Geflechts aus CRM, Datenbanken, Webanwendungen, Reporting und externen Versandkanälen.
Eine Remote-Code-Execution-Lücke in einem solchen System ist deshalb nicht nur ein lokales Softwareproblem. Sie kann den Zugang zu einem Knotenpunkt eröffnen, der für Datenflüsse und operative Kundenkommunikation relevant ist. Wenn ein Angreifer Code auf einem solchen System ausführen kann, verschiebt sich die Lage. Dann geht es nicht mehr nur um die Anwendung selbst, sondern um Berechtigungen, angebundene Systeme, gespeicherte Dateien, Zugangsdaten, Netzwerkreichweite und die Frage, wie sauber die Umgebung segmentiert ist.
CVSS 10.0 heißt: keine Reibung, hoher Schaden
Der maximale CVSS-Wert ist kein journalistischer Alarmverstärker, sondern eine technische Einordnung. Bei CVE-2026-48449 sind die entscheidenden Elemente klar: Ausnutzung über das Netzwerk, keine Authentifizierung, keine Benutzerinteraktion, beliebige Codeausführung. Für Verteidiger ist das eine ungünstige Kombination.
Sie reduziert die Annahmen, auf denen viele Sicherheitskontrollen beruhen. Wenn kein Nutzer beteiligt sein muss, helfen Awareness-Schulungen nicht. Wenn keine Anmeldung erforderlich ist, greifen klassische Kontrollen gegen kompromittierte Konten zu spät. Wenn die Ausführung aus der Ferne möglich ist, hängt viel davon ab, ob die betroffene Instanz erreichbar ist, wie sie segmentiert wurde und wie schnell das Update eingespielt wird.
Adobe weist darauf hin, dass dem Unternehmen zum Zeitpunkt der Veröffentlichung der Updates keine aktive Ausnutzung bekannt ist. Das ist relevant, aber es ändert nicht die Priorität. Bei einer Schwachstelle dieser Klasse ist die Zeit zwischen Veröffentlichung und Patch ein operatives Risiko. Sobald technische Details in Sicherheitskreisen kursieren, wird aus einem abstrakten Rating ein konkretes Zeitfenster.
Zusätzlich adressiert das Bulletin APSB26-114 eine zweite kritische Schwachstelle: CVE-2026-48448 mit CVSS 8.6. Dabei handelt es sich um eine SQL-Injection, die das Auslesen beliebiger Dateien aus dem Dateisystem ermöglichen kann. Auch das ist kein Nebengeräusch. In Kombination mit einer Plattform, die Daten verarbeitet und in Unternehmensumgebungen eingebettet ist, erhöht eine solche Lücke die Breite des möglichen Schadens.
Der eigentliche Trennschnitt verläuft zwischen Cloud und On-Premise
Bemerkenswert ist, wen der Vorfall trifft. Betroffen sind ausschließlich On-Premise-Bereitstellungen und die On-Premise-Komponenten von Hybrid-Installationen. Adobe-gehostete Instanzen wurden serverseitig behoben.
Damit wird ein alter Trade-off sichtbar, der in vielen IT-Portfolios nie vollständig entschieden wurde. On-Premise verspricht Kontrolle. In Sicherheitskrisen bedeutet Kontrolle aber auch Verantwortung. Wer die Software selbst betreibt, muss Inventar, Wartungsfenster, Abhängigkeiten, Tests, Rollback-Pläne und Freigaben beherrschen. Der Hersteller kann das Update bereitstellen. Installieren, priorisieren und kontrollieren muss der Betreiber.
Das klingt banal, ist aber in der Praxis der Unterschied zwischen geschlossenem Risiko und offener Angriffsfläche. Gerade Marketing-Systeme sind häufig historisch gewachsen. Sie wurden für Kampagnenlogik, Datenintegration und Fachbereichsprozesse optimiert, nicht zwingend für schnelle Notfall-Patches. Anpassungen, Schnittstellen und Abhängigkeiten können Updates verlangsamen. Genau diese Verzögerung ist bei einer CVSS-10.0-Lücke teuer.
Für Cloud-Anbieter ist dieser Fall ein Argument, ohne dass sie es laut aussprechen müssen. Zentral betriebene Dienste können serverseitig geschlossen werden, bevor jeder einzelne Kunde ein eigenes Change-Board durchlaufen hat. Das macht Cloud nicht automatisch sicher. Es verschiebt aber die Patch-Mechanik. In einer Lage, in der Stunden zählen können, ist diese Mechanik ein betriebswirtschaftlicher Faktor.
Das Risiko liegt in der Zuständigkeit
Der Verlierer in diesem Szenario ist nicht nur Adobe, dessen Produkt mit einer maximal bewerteten Schwachstelle verbunden ist. Das kurzfristig größere Risiko tragen Unternehmen, die betroffene On-Premise-Instanzen weiter betreiben und nicht unverzüglich auf Build 7.4.3.9398 aktualisieren.
Für Vorstände und Risikoverantwortliche ist die technische Frage relativ klar: Welche Version läuft? Ist sie betroffen? Ist das Update eingespielt? Sind On-Premise-Komponenten in Hybridumgebungen enthalten? Sind Systeme aus dem Internet oder aus weniger kontrollierten Netzsegmenten erreichbar? Welche Daten liegen dort, welche Berechtigungen hat der Dienst, welche Systeme sind angebunden?
Diese Fragen gehören nicht in ein späteres Audit, sondern in die Sofortprüfung. Denn die Schadenskette kann über reine Systemkompromittierung hinausgehen. Kundendaten, Kampagneninfrastruktur und angebundene Geschäftssysteme sind reputations- und compliance-relevant. Wenn eine Organisation nach einem bekannten Patch-Fenster kompromittiert wird, lässt sich das intern und extern schwer als unvermeidbares Ereignis darstellen.
Auch die Rollenverteilung ändert sich. CMOs können Marketing-Technologie nicht mehr nur als Effizienzwerkzeug behandeln. CISOs können sie nicht als Fachbereichssoftware am Rand belassen. Und Finanzverantwortliche sollten erkennen, dass technische Schulden in solchen Plattformen nicht nur Wartungskosten erzeugen, sondern Ereignisrisiken mit Daten-, Betriebs- und Haftungsfolgen.
Die Lehre ist trocken, aber entscheidend
Der Fall Adobe Campaign Classic zeigt keine neue Klasse von Cyberrisiko. Er zeigt, dass bekannte Risikomuster in Systemen auftauchen, die in der internen Wahrnehmung oft zu niedrig eingestuft werden. Eine Marketingplattform mit Kundendaten, Netzwerkzugang und Integrationen ist kein dekoratives Backoffice-Werkzeug. Sie ist Teil der Unternehmensinfrastruktur.
Die unmittelbare Maßnahme ist eindeutig: betroffene Adobe-Campaign-Classic-v7-Installationen identifizieren und auf den behobenen Build 7.4.3.9398 aktualisieren. Hybridumgebungen dürfen dabei nicht durch das Raster fallen, weil die On-Premise-Komponenten betroffen sein können. Danach beginnt die weniger bequeme Arbeit: prüfen, wie solche Systeme klassifiziert, überwacht, segmentiert und gepatcht werden.
CVSS 10.0 ist in diesem Fall nicht nur eine Zahl. Es ist ein Hinweis darauf, dass die Sicherheitsbilanz vieler Unternehmen an einer Stelle offen ist, die lange als Fachbereichsthema behandelt wurde. Genau dort entstehen heute operative Risiken: nicht am Rand der digitalen Wertschöpfung, sondern in den Systemen, die Kundenbeziehungen verwalten und Datenströme zusammenführen.
