CVE-2026-48333: Kritisk fejl i Adobe Campaign Classic
Kritisk autorisationsfejl i Adobe Campaign Classic kan give angribere administratorrettigheder uden login. Opdatér efter Adobes vejledning.
Hvad er det?
CVE-2026-48333 er en sårbarhed i Adobe Campaign Classic, et system til at planlægge og udsende marketingkampagner via e-mail og sms. Fejlen skyldes forkert autorisation (CWE-863), hvilket betyder at systemet ikke tjekker korrekt, om en bruger faktisk har ret til at udføre en given handling. En angriber kan derfor udnytte manglende rettighedskontrol til at hæve sine egne rettigheder i systemet, uden at have gyldigt login på forhånd og uden at en bruger skal klikke på noget.
Hvem rammer det?
Sårbarheden rammer virksomheder og organisationer, der kører Adobe Campaign Classic on-premise eller i eget hostingmiljø til styring af marketingkampagner og kundedata. Det gælder typisk marketingafdelinger, kundeserviceteams og kommunikationsansvarlige, der har adgang til eller drift af platformen. Konkrete berørte versionsnumre fremgår af Adobes officielle sikkerhedsbulletin, som IT-afdelingen bør konsultere for at afgøre, om den installerede version er ramt.
Hvad kan ske?
Fordi angrebet kan ske over netværket uden login og uden brugerinteraktion, kan en angriber i praksis opnå administratoradgang til Campaign Classic. Det giver mulighed for at læse, ændre og slette kundedata som navne, e-mailadresser og telefonnumre, sende falske kampagner i virksomhedens navn eller bruge platformen som adgangsvej videre ind i det interne netværk. For en dansk virksomhed betyder det risiko for databrud med persondata, omdømmeskade og mulig anmeldelsespligt til Datatilsynet.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver hverken login, særlige rettigheder eller at en bruger foretager sig noget, og det kan udføres over netværket med lav kompleksitet. Der er ved offentliggørelsen ikke oplysninger om, at sårbarheden aktivt bliver udnyttet, men kombinationen af let angreb og fuld konsekvens for fortrolighed, integritet og tilgængelighed gør den til en prioriteret opgave.
Hvad gør jeg nu?
Følgende trin bør gennemføres i denne rækkefølge:
- Installér den sikkerhedsopdatering, Adobe har udgivet til Campaign Classic, i overensstemmelse med det tilhørende sikkerhedsbulletin.
- Undersøg, hvilken version af Campaign Classic der kører i jeres miljø, og bekræft at opdateringen er anvendt korrekt i både produktions- og testmiljø.
- Gennemgå adgangslogfiler for usædvanlig aktivitet, herunder uventede rettighedsændringer eller adgang fra ukendte IP-adresser, i perioden op til opdateringen.
- Begræns netværksadgangen til Campaign Classic-administrationsfladen, indtil opdateringen er verificeret, for eksempel via firewallregler eller VPN-krav.
- Skift adgangskoder og gennemgå brugerkonti med administratorrettigheder i systemet efter opdateringen.
- Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om jeres installation er sårbar, eller hvis I finder tegn på misbrug.
Opdatér inden for få dage
Vi anbefaler, at I installerer Adobes sikkerhedsopdatering til Campaign Classic hurtigst muligt, da sårbarheden kan udnyttes uden login og uden brugerinteraktion. Det er kun forsvarligt at vente, hvis administrationsfladen allerede er isoleret fra internettet og kun tilgængelig via stærkt begrænset netværksadgang. I alle andre tilfælde bør opdateringen prioriteres foran andre driftsopgaver.
Tidslinje
Konkrete eksempler
Marketingafdeling rammes af uautoriseret adgang
En dansk detailkæde bruger Adobe Campaign Classic til at sende nyhedsbreve og tilbud til kunder. En angriber udnytter den manglende autorisationskontrol til at opnå administratorrettigheder i systemet uden at logge ind. Herfra får angriberen adgang til kundedatabasen med navne, e-mailadresser og købshistorik, og sender falske tilbudsmails i virksomhedens navn, hvilket skader både kundetillid og omdømme.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores installation af Campaign Classic er ramt?
Tjek den installerede versionsnummer i jeres administrationskonsol og sammenhold den med de versioner, der er nævnt i Adobes officielle sikkerhedsbulletin for denne sårbarhed. Er I i tvivl, kan I kontakte jeres driftsleverandør eller Auroa for en teknisk verifikation.
Kan vi vente med opdateringen til den planlagte vedligeholdelsesweekend?
Det anbefaler vi ikke, medmindre administrationsfladen allerede er utilgængelig fra det åbne internet. Fordi angrebet ikke kræver login eller brugerhandling, kan en sårbar installation udnyttes hurtigt, hvis den er offentligt tilgængelig.
Kræver angrebet, at nogen i virksomheden klikker på noget eller logger forkert ind?
Nej. Sårbarheden kan udnyttes direkte over netværket uden brugerinteraktion og uden gyldigt login på forhånd, hvilket gør den særligt alvorlig.
Skal vi anmelde hændelsen til Datatilsynet?
Hvis I finder tegn på, at sårbarheden er blevet udnyttet og persondata er kompromitteret, kan der være anmeldelsespligt efter databeskyttelsesforordningen. Vurdér dette konkret ud fra logfiler og eventuelt tab af data, gerne i samråd med en juridisk eller sikkerhedsfaglig rådgiver.
Er der tegn på, at sårbarheden allerede bliver udnyttet i angreb?
Der er ved offentliggørelsen ingen offentligt kendte rapporter om aktiv udnyttelse. Det ændrer dog ikke ved, at sårbarheden bør lukkes, da kritiske sårbarheder ofte bliver udnyttet kort tid efter offentliggørelse.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Adobe Campaign Classic (ACC) is affected by an Incorrect Authorization vulnerability that could result in privilege escalation. An attacker could exploit this vulnerability to gain elevated privileges. Exploitation of this issue does not require user interaction.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.