CVE-2026-48449: Kritisk fejl i Adobe Campaign Classic

CVE-2026-48449 er en fejl i adgangskontrollen i Adobe Campaign Classic, en platform mange virksomheder bruger til e-mail-markedsføring og kundedata. Fejltypen kaldes incorrect authorization, hvilket betyder at systemet ikke tjekker korrekt, om en bruger har ret til at udføre en given handling. I dette tilfælde kan en angriber udnytte fejlen til at få systemet til at køre vilkårlig kode med rettighederne fra den bruger, der bliver ramt. Fordi sårbarhedens scope er ændret, kan angrebet også påvirke andre komponenter end selve den sårbare del af systemet, hvilket øger konsekvensen ved et vellykket angreb.

Det rammer virksomheder og organisationer, der kører Adobe Campaign Classic til styring af markedsføringskampagner, nyhedsbreve og kundedata. Det gælder både interne installationer og installationer, der er tilgængelige fra internettet. Da NVD-data ikke angiver konkrete versionsnumre, bør I følge Adobes officielle sikkerhedsbulletin for at se, hvilke versioner der er berørt, og hvilken version der lukker hullet.

En angriber, der udnytter fejlen, kan køre kode på jeres server uden at logge ind og uden at en medarbejder skal klikke på noget. I praksis kan det betyde adgang til kundedata, e-mail-lister og markedsføringsdata, som ofte indeholder personoplysninger. For en dansk virksomhed betyder det risiko for databrud med krav om anmeldelse til Datatilsynet, samt risiko for at systemet bruges som adgangsvej videre ind i jeres netværk.

CVSS-score er 10 ud af 10, den højeste mulige. Angrebet kræver hverken login eller brugerhandling og kan udføres over netværket med lav kompleksitet. Fortrolighed, integritet og tilgængelighed er alle vurderet til høj konsekvens, og scope er ændret, hvilket betyder at et vellykket angreb kan sprede sig ud over selve den sårbare komponent. Der er ingen oplysninger om, at sårbarheden aktivt bliver udnyttet ved offentliggørelsen, men den kritiske score og fraværet af krav om login gør den til en oplagt målskive for angribere, når detaljer bliver kendt.

Fordi der ikke kræves login eller brugerhandling, bør opdatering prioriteres højt.

1. Opdatér Adobe Campaign Classic til den version, Adobe angiver som rettet i deres sikkerhedsbulletin.
2. Tjek om jeres installation er tilgængelig fra internettet, og begræns adgangen til kun de netværk og IP-adresser, der har behov.
3. Gennemgå logfiler for usædvanlig aktivitet, især uautoriserede handlinger eller uventet kodekørsel omkring offentliggørelsesdatoen.
4. Skift adgangskoder og API-nøgler, der er brugt i forbindelse med Campaign Classic, hvis I mistænker misbrug.
5. Informér relevante interessenter internt, hvis systemet håndterer persondata, og vurdér om en anmeldelse til Datatilsynet er nødvendig.
6. Kontakt en sikkerhedsleverandør, hvis I ikke selv kan verificere jeres version eller gennemføre opdateringen inden for kort tid.