CVE-2026-27302: Kritisk autorisationsfejl i Adobe Campaign Classic
Kritisk autorisationsfejl i Adobe Campaign Classic gør det muligt at køre vilkårlig kode uden login. Opdatér efter Adobes sikkerhedsbulletin.
Hvad er det?
CVE-2026-27302 er en fejl i Adobe Campaign Classic, et system til at planlægge og udsende marketingkampagner via e-mail og sms. Fejlen kaldes forkert autorisation (CWE-863), hvilket betyder at systemet ikke korrekt tjekker, om en bruger eller proces reelt har ret til at udføre en given handling. En angriber kan udnytte dette til at få systemet til at køre vilkårlig kode i konteksten af den bruger, der rammes. Fejlen kræver ikke login og ingen handling fra en bruger, og den kan udnyttes over netværket. Fordi angrebets omfang ændres (scope changed), kan konsekvenserne sprede sig ud over den oprindelige komponent.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der driver Adobe Campaign Classic til styring af marketingkampagner, kunde- eller borgerkommunikation. Adobe har ikke offentliggjort specifikke versionsnumre i den tilgængelige information, så it-ansvarlige bør tjekke Adobes officielle sikkerhedsbulletin for at fastslå, hvilke installerede versioner der er berørt, og hvilken opdateret version der lukker hullet.
Hvad kan ske?
En angriber, der får adgang til systemet, kan i praksis overtage kontrollen med kampagneserveren. Det kan betyde adgang til kunde- og kontaktdata, mulighed for at udsende falske kampagner i virksomhedens navn, eller brug af serveren som platform til yderligere angreb i netværket. For en dansk virksomhed betyder det risiko for tab af persondata, omdømmeskade og i værste fald pligt til at anmelde en databeskyttelseshændelse til Datatilsynet.
Hvor alvorligt er det?
CVSS-score er 10,0 ud af 10, den højeste mulige. Angrebet kræver ingen login-oplysninger og ingen handling fra en bruger, og det kan udføres over netværket med lav teknisk kompleksitet. Konsekvenserne for fortrolighed, integritet og tilgængelighed er alle vurderet som høje. Der er på offentliggørelsesdatoen ikke belæg for, at sårbarheden aktivt udnyttes i angreb, men den lave angrebskompleksitet og fraværet af krav om godkendelse gør det sandsynligt, at den hurtigt bliver et mål, når detaljer bliver kendt.
Hvad gør jeg nu?
Følg disse skridt for at lukke sårbarheden og begrænse skaden, hvis I allerede er ramt.
- Tjek Adobes sikkerhedsbulletin for Campaign Classic og opdatér til den version, Adobe angiver som rettet. Dette lukker hullet.
- Kortlæg, hvilke af jeres servere der kører Adobe Campaign Classic, og hvilken version de kører, inden I opdaterer.
- Begræns netværksadgang til Campaign Classic-serveren, så den kun kan nås fra kendte, betroede ip-adresser, indtil opdateringen er gennemført.
- Gennemgå logfiler for uventet aktivitet, uautoriserede handlinger eller usædvanlig kodeudførelse i perioden op til opdateringen.
- Skift adgangskoder og servicekonti tilknyttet systemet, hvis der er tegn på kompromittering.
- Kontakt jeres it-sikkerhedspartner eller Auroa, hvis I ikke selv kan bekræfte, at systemet er opdateret, eller hvis I finder tegn på indbrud.
Opdatér efter Adobes sikkerhedsbulletin nu
Vi anbefaler, at I straks kontrollerer, om jeres Adobe Campaign Classic-installation er berørt, og opdaterer efter Adobes officielle sikkerhedsbulletin. Med en CVSS-score på 10,0 og ingen krav om login eller brugerhandling, bør opdateringen prioriteres højere end almindelig driftsplanlægning. Det er kun forsvarligt at afvente, hvis systemet er fuldstændig isoleret fra internettet og interne netværk, og selv da bør opdateringen ske hurtigst muligt.
Tidslinje
Konkrete eksempler
Kampagneserver overtaget hos dansk detailkæde
En dansk detailkæde bruger Adobe Campaign Classic til at udsende nyhedsbreve og sms-kampagner til kunder. En angriber udnytter den mangelfulde autorisationskontrol til at få adgang til serveren uden login, henter kundedatabasen med navne og e-mailadresser, og udsender en falsk kampagne med phishing-links i virksomhedens navn. Kæden må stoppe alle udsendelser, informere kunderne og undersøge, om hændelsen skal anmeldes til Datatilsynet.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er potentielt ramt, hvis jeres virksomhed anvender Adobe Campaign Classic til marketingkampagner. Tjek Adobes sikkerhedsbulletin for at se, hvilke versioner der er berørt, og sammenhold med jeres installerede version.
Kan vi vente til weekenden med at opdatere?
Det kan vi ikke anbefale. Sårbarheden har den højeste mulige CVSS-score og kræver ikke login eller brugerhandling. Vi anbefaler at opdatere så hurtigt som muligt inden for normal arbejdstid.
Hvordan tjekker vi, om vores system er sårbart?
Find jeres installerede version af Adobe Campaign Classic i administrationskonsollen, og sammenhold den med versionerne angivet i Adobes sikkerhedsbulletin for CVE-2026-27302.
Skal vi anmelde noget til Datatilsynet?
Kun hvis I har tegn på, at sårbarheden er blevet udnyttet, og at personoplysninger er blevet tilgået eller kompromitteret. Gennemgå jeres logfiler, og kontakt en sikkerhedsrådgiver ved tvivl.
Er sårbarheden udnyttet i angreb i dag?
Der er på offentliggørelsesdatoen ikke offentligt kendte tilfælde af aktiv udnyttelse. Den lave angrebskompleksitet gør det dog sandsynligt, at det ændrer sig hurtigt.
Hvad gør vi, hvis vi ikke kan opdatere med det samme?
Begræns netværksadgangen til serveren, så kun kendte ip-adresser kan nå den, og overvåg logfiler nøje, indtil opdateringen kan gennemføres.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Adobe Campaign Classic (ACC) is affected by an Incorrect Authorization vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.