CVE-2026-48323: Kritisk fejl i Adobe Campaign Classic

Adobe Campaign Classic (ACC), et system til markedsføringsautomatisering, har en sårbarhed i sin skabelonmotor. En skabelonmotor er den del af systemet, der bygger dynamiske sider og e-mails ud fra data og kode. Fejlen betyder, at systemet ikke renser særlige tegn korrekt, når det behandler input i skabeloner. En angriber kan derfor indsætte sin egen kode i en skabelon, som systemet så udfører med samme rettigheder som den bruger, der er logget ind. Fejlen kræver ingen godkendelse og ingen handling fra en bruger for at blive udnyttet.

Sårbarheden rammer virksomheder og organisationer, der driver egen installation af Adobe Campaign Classic, typisk til nyhedsbreve, kampagnestyring og kundedata. Det gælder både on-premise opsætninger og hybride miljøer, hvor en del af systemet kører lokalt. Er ACC tilgængeligt fra internettet, for eksempel via en webgrænseflade til kampagneredigering, er risikoen størst. Danske virksomheder og kommuner, der bruger ACC til at sende e-mails med persondata om kunder eller borgere, bør se på deres opsætning.

En angriber kan udføre vilkårlig kode på serveren og dermed overtage systemet fuldstændigt. Fordi omfanget af angrebet ændres (scope changed), kan angriberen potentielt bevæge sig videre til andre dele af netværket end selve ACC-installationen. I praksis kan det betyde tyveri af kunde- og persondata, installation af skadelig kode eller afpresningssoftware, og afbrydelse af kampagnesystemet. For en dansk virksomhed kan det udløse en anmeldelsespligtig sikkerhedshændelse efter databeskyttelsesloven, hvis kundedata er berørt.

Sårbarheden har den højest mulige score, 10 ud af 10, og er vurderet kritisk. Angrebet kræver ingen login, ingen særlige rettigheder og ingen handling fra en bruger. Det kan udføres over netværket. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb på offentliggørelsesdatoen, men den lave kompleksitet betyder, at det kræver få tekniske forudsætninger at udnytte, hvis en angriber først finder frem til en sårbar installation.

Følgende trin bør gennemføres i denne rækkefølge:

1. Opdatér Adobe Campaign Classic til den version, Adobe angiver som rettet i deres sikkerhedsbulletin for CVE-2026-48323. Dette lukker selve hullet.
2. Kontrollér, om jeres ACC-installation er tilgængelig fra internettet, og begræns adgangen til kun betroede IP-adresser eller VPN, indtil opdateringen er gennemført.
3. Gennemgå logfiler for usædvanlig aktivitet i kampagnemoduler og skabeloner, særligt uventede fejl eller ukendte processer på serveren.
4. Skift adgangskoder og gennemgå brugerkonti med adgang til ACC, hvis I ikke kan udelukke, at systemet har været udsat for forsøg på udnyttelse.
5. Kan opdateringen ikke gennemføres inden for kort tid, bør systemet isoleres fra internettet, indtil den er på plads.
6. Hvis I ikke selv har ressourcer til at vurdere eksponering eller gennemføre opdateringen sikkert, bør I hente ekstern hjælp til dette med det samme.