CVE-2026-48286: Kritisk fejl i Adobe Campaign Classic

Adobe Campaign Classic er et system til at planlægge og udsende markedsføringskampagner via mail, sms og andre kanaler. Fejlen CVE-2026-48286 skyldes forkert autorisation: systemet tjekker ikke tilstrækkeligt, om en bruger eller proces reelt har ret til den handling, den forsøger at udføre. Det betyder, at en angriber kan udnytte funktioner i systemet til at få kode kørt i konteksten af en aktiv bruger, uden selv at være logget ind eller have fået brugeren til at klikke på noget. Fejlen er kategoriseret som CWE-863, forkert adgangskontrol.

Det rammer virksomheder og organisationer, der kører Adobe Campaign Classic (ACC) version 7.4.3 build 9396 eller ældre, typisk som en lokalt installeret løsning i eget datacenter eller hos en driftsleverandør. Det gælder markedsføringsafdelinger, kommunikationsbureauer og kommuner, der bruger systemet til nyhedsbreve, borgerkommunikation eller kundekampagner. Er ACC tilgængelig fra internettet, for eksempel via en administrationsgrænseflade eller API, er risikoen størst.

En angriber kan overtage funktioner i kampagnesystemet og derfra sende mails i virksomhedens navn til kunder eller borgere, ændre eller udtrække data om kontakter og kunder, og bruge systemet som adgangsvej videre ind i netværket. Fordi angrebet ikke kræver login eller brugerinteraktion, kan det ske automatiseret og i stor skala, hvis systemet er tilgængeligt fra internettet.

Sårbarheden har den højeste score, 10 ud af 10. Den kan udnyttes over netværket, kræver ingen særlige forudsætninger for angriberen (lav kompleksitet), kræver ikke login (ingen rettigheder nødvendige) og kræver ingen handling fra en bruger. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud, og fejlen kan påvirke andre dele af systemet end den sårbare komponent selv (ændret scope). Der er ikke oplyst om aktiv udnyttelse i naturen på offentliggørelsestidspunktet, men det tekniske billede gør sårbarheden til et attraktivt mål.

Følg disse trin for at lukke hullet og begrænse skaden, mens I venter på opdatering.

1. Opdatér Adobe Campaign Classic til den version, Adobe angiver som rettet i deres sikkerhedsbulletin for CVE-2026-48286. Dette lukker selve fejlen.
2. Fjern eller begræns adgang til ACC’s administrations- og API-grænseflader fra det åbne internet, indtil opdateringen er gennemført.
3. Gennemgå logs for usædvanlig aktivitet, herunder uventede udsendte kampagner, nye brugere eller ændringer i kontaktlister.
4. Skift adgangskoder og API-nøgler til systemet som en ekstra sikkerhedsforanstaltning efter opdatering.
5. Informér driftsleverandøren eller bureauet, hvis ACC driftes eksternt, og bed om dokumentation for, at opdateringen er gennemført.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv har mulighed for at teste eller udrulle opdateringen inden for kort tid, eller hvis I finder tegn på misbrug i jeres logs.