CVE-2026-48330: Kritisk SQL-fejl i Adobe Campaign Classic

Adobe Campaign Classic er ramt af en sårbarhed af typen SQL-indsprøjtning (CVE-2026-48330). SQL-indsprøjtning betyder, at en angriber kan indsætte egne databasekommandoer i felter, systemet ikke renser ordentligt, før de sendes videre til databasen. Fejlen er registreret som CWE-89, en velkendt fejlklasse i webapplikationer. Fordi Adobe Campaign Classic bruges til at styre kampagner, kundelister og automatiske udsendelser, giver et gennemført angreb mulighed for at læse, ændre eller slette data i databasen og i værste fald køre vilkårlig kode med samme rettigheder som applikationen selv.

Sårbarheden rammer virksomheder og organisationer, der driver Adobe Campaign Classic til styring af marketingkampagner og kundedata, herunder mange danske marketingafdelinger og bureauer, der outsourcer kampagnestyring. Adobe har ikke offentliggjort en liste over konkrete versionsnumre i denne indberetning, så vi anbefaler, at I tjekker jeres installerede version mod Adobes sikkerhedsbulletin for CVE-2026-48330 for at afgøre, om jeres opsætning er sårbar.

En angriber kan uden at logge ind sende specielt udformede forespørgsler til jeres Adobe Campaign Classic-server og derved trække kundedata, e-mailadresser og kampagnedata ud af databasen. Angriberen kan også ændre eller slette data, oprette nye administratorkonti i systemet eller i værste fald få kørt vilkårlig kode på serveren. For en dansk virksomhed betyder det risiko for tab af kundedata, brud på GDPR og driftsstop på marketingsystemer, mens skaden udredes.

CVSS-scoren er 10,0 af 10, den højest mulige score. Angrebet kræver ingen godkendt bruger, intet login og ingen handling fra en medarbejder. Det kan udføres over netværket alene, og angrebskompleksiteten er lav, hvilket betyder, at det kan automatiseres. Fordi angrebet også ændrer omfanget (scope changed), kan en sårbarhed i selve applikationen sprede sig til at kompromittere den underliggende database fuldt ud, med fuld fortrolighed, integritet og tilgængelighed i fare. Der er ingen offentlig oplysning om, at sårbarheden allerede er udnyttet i praksis, men den tekniske alvor og den lave barriere for udnyttelse gør den til en af de mest kritiske typer sårbarheder, vi ser.

Sårbarheden kræver hurtig håndtering, fordi den kan udnyttes uden login. Gør følgende:

1. Tjek Adobes sikkerhedsbulletin for CVE-2026-48330 og installér den officielle opdatering til jeres version af Adobe Campaign Classic.
2. Kan opdateringen ikke installeres med det samme, så begræns netværksadgangen til systemet, så det kun kan nås fra betroede IP-adresser eller via VPN.
3. Gennemgå adgangslogfiler for usædvanlige databasekald eller uventede fejl i forbindelse med formularer og API-kald.
4. Skift adgangskoder til databasebrugere og servicekonti, der bruges af Adobe Campaign Classic, hvis I finder tegn på uautoriseret adgang.
5. Kontakt Adobe support eller en sikkerhedsrådgiver, hvis I ikke selv kan verificere, om jeres version er patchet, eller hvis I finder spor af misbrug.