CVE-2026-48317: Kritisk kodefejl i Adobe Campaign Classic

Sårbarheden (CVE-2026-48317) findes i Adobe Campaign Classic, et system til at planlægge og udsende markedsføringskampagner via mail og sms. Fejlen er en eval-injektion, en teknik hvor systemet fejlagtigt kører programkode, som en bruger har indsat i et felt, der normalt kun skulle indeholde almindelig data. En angriber, der allerede har et lavt-privilegeret login til systemet, kan udnytte fejlen til at få serveren til at udføre vilkårlig kode i konteksten af den indloggede bruger, uden at nogen anden skal klikke på noget eller godkende noget.

Det rammer virksomheder og organisationer, der bruger Adobe Campaign Classic til at drive e-mail- og sms-kampagner, typisk marketingafdelinger i mellemstore og store virksomheder samt bureauer og konsulenthuse, der drifter kampagneløsningen for kunder. Alle installationer, der ikke har fået Adobes rettede version, er potentielt sårbare. Der er ikke oplyst konkrete versionsnumre i denne sag, så I bør tjekke Adobes egen sikkerhedsbulletin for at se, hvilken build jeres installation kører.

Fordi angriberen kun behøver et lavt-privilegeret login, kan en medarbejder med begrænset adgang, eller en konto der er blevet kompromitteret via phishing, misbruge fejlen til at få systemet til at udføre egen kode. Da omfanget af angrebet er ændret, kan koden potentielt påvirke andre dele af systemet end den oprindelige konto har adgang til, herunder kundelister, e-mailadresser og kampagneindhold. For en dansk virksomhed kan det ende med tab af kundedata og personoplysninger, som skal anmeldes til Datatilsynet.

CVSS-scoren er 9,6 ud af 10, hvilket er kritisk. Angrebet kræver netværksadgang og et lavt-privilegeret login, men ingen handling fra en anden bruger og ingen avanceret teknik fra angriberens side. Fortrolighed og integritet er vurderet som høj påvirket, mens tilgængelighed ikke påvirkes, det vil sige at data kan læses og ændres, men systemet holder op med at virke helt. Der foreligger ingen oplysninger om aktiv udnyttelse i skrivende stund, men fejltypen er velkendt og forholdsvis let at misbruge, når man først har et login.

Følg disse trin for at lukke hullet og begrænse skaden, hvis det allerede er misbrugt.

1. Installér Adobes rettede version af Campaign Classic så hurtigt som muligt, det lukker selve fejlen.
2. Gennemgå adgangslister og fjern eller begræns lavt-privilegerede konti, der ikke har brug for adgang til systemet.
3. Tjek logfiler for uventede kald til dynamiske kodefelter eller usædvanlig aktivitet fra lavt-privilegerede brugere.
4. Skift adgangskoder for konti, der har adgang til Campaign Classic, hvis I er i tvivl om, om de er kompromitteret.
5. Sæt ekstra netværksbegrænsninger på systemet, hvis en opdatering ikke kan gennemføres inden for få dage.
6. Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv kan verificere, om jeres installation er ramt eller allerede udnyttet.