CVE-2026-71398: Kritisk fejl i Adobe Campaign Classic
Kritisk fejl i Adobe Campaign Classic tillader kodekørsel uden login. Opdatér efter Adobes sikkerhedsbulletin nu.
Hvad er det?
Adobe Campaign Classic (ACC) har en fejl i rettighedskontrol, kaldet incorrect authorization: systemet kontrollerer ikke korrekt, om en bruger eller proces faktisk har lov til at udføre en given handling. Fejlen gør det muligt for en angriber at få systemet til at køre vilkårlig kode i den sammenhæng, den aktuelle bruger er logget ind i. Angrebet kræver ingen handling fra en bruger og kan udføres over netværket uden gyldigt login. Fejlen har ændret scope, hvilket betyder at et vellykket angreb ikke kun rammer selve den sårbare komponent, men også kan påvirke andre dele af systemet og de data, der ligger der.
Hvem rammer det?
Sårbarheden rammer virksomheder og organisationer, der kører Adobe Campaign Classic som platform til e-mail- og sms-marketing samt kundekommunikation. Det gælder både virksomheder, der selv driver installationen, og de, der har outsourcet driften til en leverandør. Da NVD-data ikke angiver konkrete versionsnumre for denne sårbarhed, bør I tjekke jeres installerede version mod Adobes officielle sikkerhedsbulletin for at afgøre, om I er ramt.
Hvad kan ske?
En angriber, der udnytter fejlen, kan køre egen kode på serveren og dermed få adgang til kundelister, e-mail-indhold, personoplysninger og øvrige data i kampagnesystemet. I praksis kan det betyde læk af kundedata, misbrug af systemet til at udsende falske kampagner i jeres navn, eller at angriberen bruger adgangen som springbræt til andre systemer på netværket. For en dansk virksomhed er det både et driftsproblem og en potentiel GDPR-anmeldelsespligt, hvis persondata er involveret.
Hvor alvorligt er det?
CVSS-scoren er 10,0 ud af 10, den højeste mulige. Angrebet kræver ikke login, kræver ingen handling fra en bruger, kan udføres over netværket, og har lav teknisk kompleksitet. Konsekvensen er fuld: fortrolighed, integritet og tilgængelighed er alle vurderet som høj påvirkning. Der er ikke belæg for aktiv udnyttelse i offentlige data på offentliggørelsesdatoen, men den lave angrebstærskel og den høje konsekvens gør sårbarheden til en af de mest alvorlige, man kan møde.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden, hvis I bruger Adobe Campaign Classic:
- Opdatér Adobe Campaign Classic til den version, Adobe angiver som rettet i deres sikkerhedsbulletin for CVE-2026-71398.
- Kontrollér jeres nuværende version mod bulletinen, hvis I ikke kender versionsnummeret med det samme.
- Begræns netværksadgangen til ACC-serveren til kun de systemer og IP-adresser, der har brug for det, mens opdatering forberedes.
- Gennemgå logfiler for usædvanlig aktivitet, herunder uventede kodekørsler eller adgang fra ukendte IP-adresser.
- Informér jeres databeskyttelsesansvarlige, hvis systemet indeholder personoplysninger, så en eventuel anmeldelsespligt kan vurderes.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv har ressourcer til at verificere patch-status eller undersøge mulige spor af udnyttelse.
Opdatér inden for 48 timer
Vi anbefaler, at I opdaterer Adobe Campaign Classic til den rettede version så hurtigt som muligt, da sårbarheden kræver hverken login eller brugerhandling og giver fuld kontrol til en angriber. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde. Hvis opdatering ikke kan gennemføres samme dag, bør netværksadgangen til systemet begrænses som en midlertidig foranstaltning, indtil patch er installeret.
Tidslinje
Konkrete eksempler
Marketingafdeling i en dansk detailkæde
En dansk detailkæde bruger Adobe Campaign Classic til at sende nyhedsbreve og sms-kampagner til kunder. En angriber udnytter sårbarheden uden at have et login og får mulighed for at køre egen kode på serveren. Herfra får angriberen adgang til kundedatabasen med navne, e-mailadresser og købshistorik, og kan desuden misbruge systemet til at udsende falske kampagner i virksomhedens navn.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-71398?
I er ramt, hvis I kører Adobe Campaign Classic. Tjek jeres versionsnummer mod Adobes sikkerhedsbulletin for at se, om jeres installation er blandt de sårbare.
Hvordan tjekker vi, om vi er sårbare?
Find versionsnummeret på jeres ACC-installation, typisk i systemets administrationspanel, og sammenlign det med de versioner, Adobe har markeret som rettede i deres officielle bulletin.
Kan vi vente til weekenden med at opdatere?
Det kan vi ikke anbefale. Fejlen kræver ikke login og kan udnyttes over netværket uden brugerinteraktion, så tidsvinduet fra offentliggørelse til et muligt angreb kan være kort.
Skal vi anmelde noget til Datatilsynet?
Kun hvis I konstaterer, at sårbarheden faktisk er blevet udnyttet og persondata er kompromitteret. Uden tegn på udnyttelse er der ikke i sig selv en anmeldelsespligt, men vurdér situationen sammen med jeres databeskyttelsesansvarlige.
Hvad hvis vi bruger en leverandør til at drive ACC?
Kontakt leverandøren og bed om bekræftelse på, at systemet er opdateret til den rettede version, og bed om dokumentation for hvornår opdateringen er gennemført.
Er der offentlige eksempler på misbrug af denne sårbarhed?
Der er ikke belæg i offentlige data for aktiv udnyttelse på offentliggørelsesdatoen, men det høje CVSS-tal betyder, at det er en attraktiv sårbarhed for angribere.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Adobe Campaign Classic (ACC) is affected by an Incorrect Authorization vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.