CVE-2026-48331: Kritisk SSRF-fejl i Adobe Campaign Classic
Kritisk SSRF-sårbarhed i Adobe Campaign Classic (CVE-2026-48331) giver angribere fuld adgang uden login. Opdatér systemet nu.
Hvad er det?
CVE-2026-48331 er en sårbarhed af typen SSRF (Server-Side Request Forgery) i Adobe Campaign Classic, et system til at styre e-mail- og markedsføringskampagner. SSRF betyder, at en angriber kan narre serveren til at sende forespørgsler til interne systemer, som normalt ikke er tilgængelige udefra. I dette tilfælde kan fejlen bruges til at eskalere rettigheder, altså opnå adgang på et højere niveau end tiltænkt, uden at angriberen behøver at logge ind eller have nogen form for adgang i forvejen.
Hvem rammer det?
Sårbarheden rammer virksomheder og organisationer, der bruger Adobe Campaign Classic til at sende nyhedsbreve, kampagner eller anden kundekommunikation. Det gælder både interne installationer og hostede opsætninger, hvor Campaign Classic-serveren er tilgængelig fra internettet eller fra andre dele af netværket. Er I i tvivl om, hvilken version I kører, bør I tjekke administrationskonsollen eller kontakte jeres Adobe-leverandør for at få bekræftet, om jeres installation er berørt, og hvilken opdatering der lukker hullet.
Hvad kan ske?
En angriber kan uden at logge ind få serveren til at udføre handlinger på vegne af systemet selv, for eksempel tilgå interne databaser, administrationsgrænseflader eller andre servere i netværket, som ellers er beskyttet. Fordi sårbarheden fører til rettighedseskalering, kan angriberen ende med fuld kontrol over Campaign Classic-installationen. Det kan betyde adgang til kundedata, kampagnehistorik og mulighed for at sende falske e-mails i virksomhedens navn.
Hvor alvorligt er det?
Sårbarheden har den højeste mulige CVSS-score på 10 ud af 10. Den kræver hverken login, adgangskode eller nogen handling fra en bruger, og den kan udnyttes over netværket med lav teknisk kompleksitet. Angrebet ændrer desuden ‘scope’, hvilket betyder at konsekvenserne rækker ud over selve Campaign Classic-serveren og kan påvirke andre dele af infrastrukturen. Der er ikke oplysninger om aktiv udnyttelse i skrivende stund, men kombinationen af høj score og lav angrebskompleksitet gør det til en sårbarhed, man bør handle på uden ophold.
Hvad gør jeg nu?
Følgende trin bør gennemføres i denne rækkefølge:
- Installér den sikkerhedsopdatering, Adobe har udsendt til Campaign Classic. Tjek Adobes sikkerhedsbulletin for den præcise version, der lukker CVE-2026-48331.
- Kan opdateringen ikke installeres med det samme, så begræns adgangen til Campaign Classic-serveren, så den kun kan tilgås fra betroede interne IP-adresser eller via VPN.
- Gennemgå logfiler for usædvanlige udgående forespørgsler fra serveren, især til interne adresser eller administrationsgrænseflader.
- Kontrollér, om der er tegn på uautoriseret adgang eller ændringer i brugerrettigheder efter offentliggørelsen af sårbarheden.
- Sørg for, at Campaign Classic-serveren ikke er direkte tilgængelig fra internettet, medmindre det er strengt nødvendigt.
- Har I ikke selv ressourcer til at vurdere eksponering eller gennemføre opdateringen sikkert, bør I hente hjælp fra en sikkerhedsrådgiver eller jeres it-leverandør hurtigst muligt.
Opdatér inden for 24 timer
Vi anbefaler, at I installerer Adobes opdatering til Campaign Classic så hurtigt som muligt, da sårbarheden har den højeste alvorlighedsgrad og ikke kræver login eller brugerinteraktion. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde, medmindre serveren i mellemtiden isoleres fra internettet. Er Campaign Classic ikke eksponeret udadtil og adgangen er strengt begrænset internt, kan I acceptere en kortere forsinkelse, mens I tester opdateringen, men den bør fortsat prioriteres højt.
Tidslinje
Konkrete eksempler
Kampagneserver bruges som indgang til interne systemer
En dansk detailvirksomhed bruger Adobe Campaign Classic til at sende nyhedsbreve til kunder, og serveren er tilgængelig fra internettet for at modtage indgående webhook-kald. En angriber udnytter SSRF-sårbarheden til at få serveren til at kontakte et internt administrationssystem, som ikke normalt er tilgængeligt udefra. Herfra opnår angriberen forhøjede rettigheder og får adgang til kundedata og mulighed for at sende falske e-mails i virksomhedens navn.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi er ramt?
Tjek den installerede version af Adobe Campaign Classic i administrationskonsollen, og sammenhold den med den version, Adobe angiver som rettet i deres sikkerhedsbulletin for CVE-2026-48331. Er I i tvivl, kan jeres Adobe-partner eller it-leverandør bekræfte det for jer.
Kan vi vente med at opdatere til weekenden?
Det frarådes. Sårbarheden kan udnyttes uden login og over netværket, så en angriber kan handle hurtigt, hvis sårbarheden bliver kendt bredt. Kan opdateringen ikke gennemføres i dag, bør I i stedet lukke ekstern adgang til serveren, indtil den er opdateret.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Finder I konkrete tegn på, at sårbarheden er udnyttet, og at persondata er kompromitteret, skal I vurdere anmeldelsespligt efter databeskyttelsesforordningen over for Datatilsynet inden for 72 timer. Vi anbefaler, at I dokumenterer fund og handlinger, uanset om der skal anmeldes eller ej.
Er det nok at opdatere, eller skal vi også tjekke for indbrud?
Opdateringen lukker selve sårbarheden, men hvis serveren har været eksponeret siden offentliggørelsen, bør I også gennemgå logfiler for usædvanlig aktivitet og eventuelle ændringer i brugerrettigheder, før I anser sagen for lukket.
Påvirker det andre systemer end selve Campaign Classic?
Fordi sårbarheden ændrer ‘scope’ i CVSS-vurderingen, kan konsekvenserne strække sig ud over Campaign Classic-serveren selv, for eksempel til interne systemer, serveren kan kontakte. Derfor bør I også se på netværkssegmentering omkring installationen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Adobe Campaign Classic (ACC) is affected by a Server-Side Request Forgery (SSRF) vulnerability that could result in privilege escalation. Exploitation of this issue does not require user interaction. Scope is changed.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.