CVE-2026-48317: Kritisk fejl i Adobe Campaign Classic

CVE-2026-48317 er en kritisk sårbarhed i Adobe Campaign Classic (ACC) — det program mange virksomheder bruger til at sende marketingmails og automatisere kundekommunikation. Sårbarheden kaldes ‘Eval Injection’, hvilket betyder, at en angriber kan smugle skadelig kode ind i systemet, som programmet derefter udfører som om det var legitime instruktioner. Det kræver ikke, at en medarbejder klikker på noget eller godkender handlingen. Angriberen behøver kun en konto med lavt privilegieniveau (dvs. en helt almindelig brugeradgang) for at udnytte fejlen. Når det lykkes, kan angriberen køre vilkårlig kode på serveren — i praksis overtage dele af systemet.

Sårbarheden rammer virksomheder og organisationer, der bruger Adobe Campaign Classic (ACC) som e-mailmarketing- eller CRM-platform (system til kunderelationsstyring). Det kan være virksomheder inden for detailhandel, finans, sundhed eller andre brancher, der sender nyhedsbreve, kampagnemails eller automatiserede beskeder via ACC. Har du medarbejdere, partnere eller underleverandører med adgang til dit Adobe Campaign Classic-system — selv med begrænset adgang — er du potentielt i risiko.

En angriber med blot en simpel brugerkonto i Adobe Campaign Classic kan udnytte fejlen til at:

• Køre vilkårlig kode på den server, der driver Campaign Classic-systemet
• Tilgå og stjæle fortrolige kundedata, e-mailadresser og personoplysninger
• Manipulere eller slette data i systemet
• Bevæge sig videre i dit netværk og angribe andre systemer (‘lateral movement’)
• Plante bagdøre (skjulte adgange) for fremtidige angreb

CVSS-scoren er 9,6 ud af 10, og Fortrolighed og Integritet er begge vurderet til ‘Høj’. Det betyder, at dine data kan blive læst og ændret. Det er særligt alvorligt, hvis Campaign Classic indeholder personoplysninger, da et brud kan udløse GDPR-forpligtelser og anmeldepligt til Datatilsynet.

Denne sårbarhed er klassificeret som Kritisk med en CVSS-score på 9,6/10. Tre faktorer gør den særlig alvorlig:

• Ingen brugerinteraktion kræves — angriberen handler fuldstændig selvstændigt, ingen medarbejder behøver at gøre noget
• Lav adgangstærskel — en konto med minimale rettigheder er nok
• Ændret scope — angrebet kan sprede sig ud over selve Campaign Classic og påvirke andre systemer på samme netværk

Kombinationen betyder, at en angriber med blot én kompromitteret brugerkonto potentielt kan få kontrol over langt mere end e-mailsystemet.

Følg disse trin hurtigst muligt — helst inden for 24-72 timer:

1. Tjek om du bruger Adobe Campaign Classic — kontakt din IT-leverandør eller interne IT-ansvarlige og få bekræftet, om I anvender ACC og hvilken version.
2. Installer Adobes sikkerhedsopdatering — Adobe har udsendt en patch (rettelse). Sørg for at opdatere til den nyeste version straks. Følg Adobes officielle sikkerhedsbulletin.
3. Gennemgå brugerkonti i ACC — fjern eller suspendér konti, der ikke længere er i brug, og skærp adgangskontrol (brug mindst mulige rettigheder pr. bruger).
4. Aktiver logning og overvågning — bed din IT-leverandør om at aktivere detaljeret logning på Campaign Classic-serveren, så I kan opdage mistænkelig aktivitet.
5. Vurdér om systemet har været kompromitteret — tjek logfiler for usædvanlige handlinger, særligt i perioden op til patching.
6. Informér relevante parter — hvis I behandler personoplysninger i ACC, og der er mistanke om brud, har I 72 timers anmeldepligt til Datatilsynet under GDPR.