CVE-2026-19232: Kritisk fejl i Adobe Experience Manager
Adobe Experience Manager har en kritisk autorisationsfejl (CVE-2026-19232). Opdatér snarest for at lukke hullet.
Hvad er det?
CVE-2026-19232 er en sårbarhed i Adobe Experience Manager, et system mange virksomheder bruger til at drive hjemmesider, intranet og digitalt kundeindhold. Fejlen skyldes mangelfuld autorisationskontrol, altså systemets tjek af om en given bruger faktisk har ret til at udføre en handling. Kontrollen fejler, så en bruger med lave rettigheder kan udføre handlinger, der normalt kræver højere rettigheder, herunder afvikling af vilkårlig kode i en anden brugers session. Fejlen kræver ingen handling fra offeret og kan udnyttes over netværket.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der bruger Adobe Experience Manager til hjemmesider, borgerportaler eller intranet. NVD-oplysningerne angiver ikke specifikke versionsnumre for de ramte udgaver, så I bør slå jeres installerede version op mod Adobes officielle sikkerhedsbulletin for CVE-2026-19232 for at afgøre, om I er berørt.
Hvad kan ske?
En medarbejder eller ekstern samarbejdspartner med en almindelig redaktørkonto kan udnytte fejlen til at opnå kontrol svarende til en administratorkonto. I praksis kan det betyde ændring af hjemmesidens indhold, indsættelse af skadelig kode, der rammer besøgende, eller adgang til data om kunder og borgere, som systemet håndterer.
Hvor alvorligt er det?
CVSS-score er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver, at angriberen allerede har en lav-privilegeret konto i systemet, men kræver ingen handling fra offeret og kan gennemføres over netværk uden yderligere forudsætninger. Fordi scope er ændret, kan angriberen påvirke andre dele af systemet end den, hvor fejlen sidder. Der er ikke i det foreliggende materiale oplysning om, at fejlen aktivt udnyttes.
Hvad gør jeg nu?
Følg punkterne i denne rækkefølge:
- Opdater Adobe Experience Manager til den version, Adobe angiver som rettet i deres sikkerhedsbulletin for CVE-2026-19232.
- Gennemgå alle lav-privilegerede brugerkonti og fjern adgang for konti, der ikke har et aktuelt behov.
- Tjek logfiler for usædvanlig aktivitet fra redaktør- eller andre lav-privilegerede konti i perioden op til opdateringen.
- Sæt ekstra beskyttelse ind på administrative adgangspunkter, for eksempel gennem en webapplikationsfirewall, indtil opdateringen er installeret.
- Kontakt Auroa eller en anden sikkerhedsleverandør, hvis I ikke selv kan bekræfte jeres version eller udføre opdateringen.
Opdatér inden for 72 timer
Vi anbefaler, at I hurtigst muligt slår jeres AEM-version op mod Adobes sikkerhedsbulletin og opdaterer, hvis I er ramt. Det er kun i orden at vente, hvis I med sikkerhed kan dokumentere, at jeres installation ikke er berørt, eller at systemet slet ikke bruger Adobe Experience Manager. Givet den kritiske CVSS-score på 9,9 og at angrebet ikke kræver brugerhandling, bør opdateringen prioriteres over andre driftsopgaver.
Tidslinje
Konkrete eksempler
Kommunal borgerportal driftet med Adobe Experience Manager
En dansk kommune bruger Adobe Experience Manager til at drive sin borgerportal, hvor eksterne konsulenter har redaktørkonti til at opdatere indhold. En konsulentkonto med lave rettigheder udnyttes til at opnå administratoradgang, hvorefter angriberen ændrer sider på portalen og får adgang til borgerdata, som systemet håndterer. Kommunen opdager først fejlen, da borgere klager over mistænkelige links på portalen.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-19232?
I er ramt, hvis I bruger Adobe Experience Manager. Slå jeres installerede version op mod Adobes officielle sikkerhedsbulletin for at se, om jeres udgave er nævnt som sårbar.
Hvordan finder vi vores version af Adobe Experience Manager?
Versionen fremgår typisk af systemets administrationspanel eller kan findes af den, der vedligeholder installationen, for eksempel jeres it-afdeling eller webbureau.
Kan vi vente med at opdatere til efter weekenden?
Vi anbefaler ikke det. Sårbarheden har en kritisk CVSS-score på 9,9, kræver kun en lav-privilegeret konto og ingen handling fra offeret. Vent kun, hvis I har bekræftet, at jeres installation ikke er ramt.
Kræver angrebet, at en medarbejder klikker på noget?
Nej. Angrebet kræver ingen brugerinteraktion. Angriberen skal blot have en lav-privilegeret konto i systemet for at udnytte fejlen.
Skal vi anmelde dette til Datatilsynet?
Kun hvis I konstaterer, at der faktisk er sket et sikkerhedsbrud med adgang til personoplysninger. Sårbarheden i sig selv udløser ikke en anmeldelsespligt, men et konstateret misbrug kan gøre det.
Hvad gør vi, hvis vi ikke selv kan udføre opdateringen?
Kontakt jeres it-leverandør eller en sikkerhedskonsulent, der kan verificere jeres version og installere den rettede udgave for jer.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Adobe Experience Manager is affected by an Incorrect Authorization vulnerability that could result in arbitrary code execution in the context of the current user, potentially gaining elevated access or control over the victim’s account or session. A low-privileged attacker could exploit this vulnerability to gain elevated access or control over the victim’s account or session. Exploitation of this issue does not require user interaction. Scope is changed.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.