CVE-2026-47907: Sårbarhed i Adobe Dreamweaver
Adobe Dreamweaver før version 21.8 har en adgangskontrolfejl (CVE-2026-47907), der kan give kodekørsel. Opdatér til 21.8.
Hvad er det?
CVE-2026-47907 er en fejl i adgangskontrol (CWE-284) i Adobe Dreamweaver, programmet mange webbureauer og udviklere bruger til at bygge og redigere hjemmesider. Fejlen betyder, at programmet ikke kontrollerer rettigheder korrekt, når en bestemt filtype åbnes. Angrebet kræver, at offeret selv åbner en forberedt, skadelig fil, men kræver ingen loginoplysninger på forhånd. Fordi ‘scope’ er ændret, kan koden, der køres, påvirke andre dele af systemet end selve Dreamweaver-processen. Adobe har rettet fejlen i version 21.8.
Hvem rammer det?
Sårbarheden rammer Adobe Dreamweaver Desktop version 21.7 og ældre, både på macOS og Windows. Det gælder webdesignere, marketingafdelinger og bureauer, der bruger Dreamweaver til at udvikle eller opdatere hjemmesider for danske virksomheder og kommuner.
Hvad kan ske?
En angriber kan få en medarbejder til at åbne en manipuleret fil, for eksempel et Dreamweaver-projekt eller en skabelon tilsendt som e-mailbilag. Åbnes filen, kan angriberen køre vilkårlig kode med samme rettigheder som den bruger, der er logget ind. I praksis kan det føre til installation af malware, tyveri af kildekode og kundedata eller adgang videre ind i virksomhedens netværk.
Hvor alvorligt er det?
CVSS-score er 8,6 ud af 10, hvilket er alvorligt. Angrebet kræver lokal adgang til filen og brugerhandling, det vil sige at offeret selv skal åbne den skadelige fil, men ingen login eller forudgående rettigheder er nødvendige. Konsekvensen er høj på alle tre parametre: fortrolighed, integritet og tilgængelighed. Der er ikke offentlig information om, at sårbarheden aktivt udnyttes, men det tekniske grundlag for et angreb er til stede.
Hvad gør jeg nu?
Det vigtigste er at opdatere Dreamweaver, så adgangskontrollen rettes.
- Opdatér Adobe Dreamweaver til version 21.8 eller nyere på alle arbejdsstationer, både macOS og Windows.
- Informér medarbejdere, der bruger Dreamweaver, om ikke at åbne projektfiler eller skabeloner fra ukendte afsendere.
- Kontrollér med jeres it-leverandør eller pakkehåndtering, om Dreamweaver opdateres automatisk, eller om det kræver manuel handling på hver maskine.
- Gennemgå e-mailfiltre for at fange filtyper, der bruges af Dreamweaver-projekter, som ekstra beskyttelseslag.
- Kontakt en it-sikkerhedsrådgiver, hvis I ikke kan bekræfte, at alle installationer er opdateret, eller hvis I mistænker, at en medarbejder har åbnet en mistænkelig fil.
Opdatér inden næste arbejdsdag
Vi anbefaler, at I opdaterer Dreamweaver til version 21.8 på alle maskiner, hvor programmet er installeret, og gør det en del af jeres normale opdateringscyklus for kreative programmer. Det er i orden at planlægge opdateringen til næste driftsvindue, da der ikke er tegn på aktiv udnyttelse, men vent ikke længere end en uge, fordi angrebet ikke kræver særlige forudsætninger, når først en fil er åbnet.
Tidslinje
Konkrete eksempler
Skadelig skabelon sendt til webbureau
En medarbejder i et dansk webbureau modtager en e-mail fra en påstået kunde med en Dreamweaver-projektfil vedhæftet. Medarbejderen åbner filen i en ikke-opdateret Dreamweaver for at se på designet. Filen udnytter adgangskontrolfejlen og kører kode, der installerer skadelig software på maskinen, hvorfra angriberen kan bevæge sig videre ind i bureauets netværk.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I har Adobe Dreamweaver version 21.7 eller ældre installeret på macOS eller Windows. Tjek versionsnummeret under Hjælp eller Om Dreamweaver i programmet.
Hvordan tjekker vi, om vi er sårbare?
Åbn Dreamweaver, gå til menuen Hjælp og find versionsnummeret. Er det 21.7 eller lavere, skal I opdatere. Har I flere maskiner, kan jeres it-leverandør hjælpe med at lave et samlet overblik.
Kan vi vente til weekenden med at opdatere?
Ja, det er forsvarligt at vente til næste planlagte opdateringsvindue, da sårbarheden kræver, at en bruger selv åbner en skadelig fil, og der ikke er kendt aktiv udnyttelse. Vent dog ikke længere end en uge.
Skal vi anmelde denne sårbarhed nogen steder?
Nej, en almindelig opdatering af Dreamweaver kræver ikke anmeldelse. Det bliver først relevant, hvis I konstaterer, at en medarbejder faktisk har åbnet en skadelig fil, og der er tegn på kompromittering.
Hvad gør vi, hvis en medarbejder allerede har åbnet en mistænkelig fil?
Isolér den pågældende maskine fra netværket, skift adgangskoder for brugeren, og kontakt jeres it-sikkerhedsleverandør for at undersøge, om koden er blevet kørt og om der er sket yderligere adgang til systemet.
Påvirker fejlen andre Adobe-produkter end Dreamweaver?
Nej, ifølge de offentliggjorte oplysninger er det alene Adobe Dreamweaver Desktop version 21.7 og ældre, der er berørt.
Ramte produkter
Adobe: Dreamweaver
< 21.8
Apple: Macos
–
Microsoft: Windows
–
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Dreamweaver Desktop versions 21.7 and earlier are affected by an Improper Access Control vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue requires user interaction in that a victim must open a malicious file. Scope is changed.
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.