CVE-2026-48326: Kritisk SQL-fejl i Adobe Campaign Classic
Kritisk SQL-indsprøjtning i Adobe Campaign Classic (CVE-2026-48326) kan give en lav-privilegeret bruger fuld kodeudførelse. Tjek Adobes bulletin og opdatér straks patch er klar.
Hvad er det?
Adobe Campaign Classic (ACC) er et system til at planlægge og udsende marketingkampagner, som mange virksomheder bruger til e-mail- og SMS-udsendelser samt kundedatabaser. Sårbarheden er en SQL-indsprøjtning (CWE-89), hvor en angriber kan indsætte skadelig kode i et databasekald, som systemet ikke tjekker ordentligt. Fordi ‘scope’ er ændret i CVSS-vurderingen, betyder det, at angriberen kan bryde ud af den database, sårbarheden findes i, og påvirke andre dele af systemet end det, angrebet oprindeligt retter sig mod.
Hvem rammer det?
Alle virksomheder og organisationer, der kører Adobe Campaign Classic til kampagnestyring, er potentielt ramt. Det gælder både on-premise installationer og virksomhedens egne servere, hvor ACC håndterer kundedata, kontaktlister eller kampagneindhold. NVD-data oplister ikke specifikke versionsnumre, så alle nuværende installationer bør betragtes som sårbare, indtil Adobe har bekræftet andet.
Hvad kan ske?
En angriber, der allerede har et lav-privilegeret login til systemet, for eksempel en almindelig marketingmedarbejders konto, kan udnytte fejlen uden at skulle klikke på noget eller udføre yderligere handlinger. Herfra kan angriberen læse, ændre eller slette data i databasen og i værste fald køre egen kode på serveren. For en dansk virksomhed betyder det risiko for læk af kundedata, ødelagte kampagner og mulighed for, at angriberen bruger den kompromitterede server som springbræt til resten af netværket.
Hvor alvorligt er det?
CVSS-scoren er 9,9 ud af 10, hvilket er blandt de højeste, en sårbarhed kan få. Angrebet kræver netværksadgang, men ingen brugerinteraktion fra offeret, og angriberen behøver kun lave privilegier for at komme i gang. Kompleksiteten er lav, så der skal ikke særlige forudsætninger til for at udnytte fejlen. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud (høj/høj/høj), og fordi scope er ændret, kan angrebet spredes ud over det oprindelige system. Der er ikke oplyst aktiv udnyttelse i det fri på offentliggørelsesdatoen, men sårbarhedens karakter gør den attraktiv for angribere.
Hvad gør jeg nu?
Følgende skridt bør prioriteres i den viste rækkefølge:
- Tjek Adobes sikkerhedsbulletin for Campaign Classic og installér den rettede version, så snart den er tilgængelig. Dette lukker selve hullet.
- Indtil en opdatering er installeret, begræns netværksadgang til ACC-serveren, så kun nødvendige interne systemer og IP-adresser kan tilgå den.
- Gennemgå brugerkonti med adgang til systemet, og fjern eller nedgrader konti med unødvendige rettigheder, da angrebet kræver et lav-privilegeret login.
- Aktivér eller skærp logning af databasekald og API-forespørgsler, så I kan opdage unormal aktivitet, mens I venter på opdateringen.
- Tag en sikkerhedskopi af databasen, hvis det ikke allerede sker rutinemæssigt, så I kan genskabe data ved et eventuelt indbrud.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere patch-status eller vurdere jeres eksponering, eller hvis I opdager tegn på misbrug.
Opdatér, så snart Adobe udgiver rettelse
Vi anbefaler, at I straks tjekker Adobes sikkerhedsbulletin for Campaign Classic og planlægger opdatering, så snart en rettet version er tilgængelig. Indtil da bør I begrænse netværksadgang og gennemgå brugerrettigheder, da angrebet kun kræver et lavt privilegeret login. Det er ikke forsvarligt at vente til en fast opdateringscyklus, givet CVSS-scoren på 9,9 og at angrebet ikke kræver brugerinteraktion.
Tidslinje
Konkrete eksempler
Marketingmedarbejders konto misbruges til dataudtræk
En dansk virksomhed bruger Adobe Campaign Classic til at udsende nyhedsbreve og administrere kundelister. En angriber, der har fået fat i loginoplysninger til en almindelig marketingbrugers konto, for eksempel via phishing, udnytter SQL-indsprøjtningen til at læse hele kundedatabasen, inklusive navne, e-mailadresser og købshistorik. Angriberen bruger den udtrukne kode til at eskalere adgang og placere en bagdør på serveren, som giver fortsat adgang selv efter det oprindelige login er skiftet.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-48326?
Hvis jeres virksomhed kører Adobe Campaign Classic, uanset version, bør I betragte jer som potentielt ramt, indtil Adobe har oplyst hvilke versioner der er rettet. Tjek Adobes officielle sikkerhedsbulletin for præcise versionsnumre.
Hvordan tjekker vi, om systemet er sårbart?
Gennemgå den installerede version af Campaign Classic mod Adobes bulletin, og kontroller adgangslogs for uventede databasekald eller fejlmeddelelser fra SQL-forespørgsler. Er I i tvivl, kan en teknisk gennemgang af serveren afklare det.
Kan vi vente til efter weekenden med at reagere?
Givet CVSS-scoren på 9,9 og at angrebet ikke kræver brugerinteraktion, bør I ikke vente længere end nødvendigt. Begræns netværksadgang til systemet, mens I afventer en officiel opdatering fra Adobe.
Kræver angrebet, at angriberen allerede har adgang til systemet?
Ja, angriberen skal have et lav-privilegeret login, men behøver ikke administratorrettigheder. Det betyder, at selv en kompromitteret almindelig brugerkonto kan misbruges til at udnytte sårbarheden.
Skal vi anmelde dette til Datatilsynet?
Sårbarheden i sig selv er ikke anmeldelsespligtig, men hvis I konstaterer, at kundedata er blevet tilgået eller lækket via denne fejl, kan det udløse anmeldelsespligt efter databeskyttelsesreglerne. Vurdér konkret om personoplysninger har været eksponeret.
Hvad gør vi, hvis vi ikke kan opdatere systemet med det samme?
Begræns adgangen til ACC-serveren til kun nødvendige interne IP-adresser, gennemgå brugerrettigheder og skærp logning, så I kan opdage misbrug, mens I planlægger opdateringen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Adobe Campaign Classic (ACC) is affected by an Improper Neutralization of Special Elements used in an SQL Command (‘SQL Injection’) vulnerability that could result in arbitrary code execution in the context of the current user. A low-privileged attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.