CVE-2026-73369: Kritisk fejl i Adobe Campaign Classic
Kritisk sårbarhed i Adobe Campaign Classic tillader kodeudførelse uden login. Opdatér straks til nyeste patchede version.
Hvad er det?
CVE-2026-73369 er en sårbarhed i Adobe Campaign Classic (ACC), et system til at planlægge og udsende marketingkampagner via mail og sms. Fejlen skyldes såkaldt kodeinjektion (CWE-94), hvor systemet ikke kontrollerer indhold korrekt, før det behandles som kørbar kode. En angriber kan sende specialfremstillede data til systemet og få dem udført med de rettigheder, som den aktuelle bruger har. Fordi sårbarheden ændrer det såkaldte scope, kan angrebet også påvirke andre dele af systemet end der, hvor angrebet startede.
Hvem rammer det?
Sårbarheden rammer organisationer, der bruger Adobe Campaign Classic til at håndtere kunde- og marketingdata, herunder e-mail-lister, segmentering og automatiserede kampagner. Det gælder virksomheder og kommuner med egen ACC-installation, typisk marketingafdelinger og eksterne bureauer, der administrerer systemet på kundens vegne. Alle versioner, der ikke er opdateret med Adobes seneste sikkerhedsrettelse til denne fejl, må betragtes som sårbare.
Hvad kan ske?
En angriber, der udnytter fejlen, kan få systemet til at udføre vilkårlig kode uden at logge ind og uden at nogen bruger skal klikke på noget. I praksis betyder det, at angriberen kan læse og ændre kundedata, tilgå e-mail-arkiver og persondata, eller bruge det kompromitterede system som adgang videre ind i virksomhedens netværk. For en dansk virksomhed kan konsekvensen være tab af kundedata omfattet af GDPR, stop for kampagneafsendelse og et omfattende oprydningsarbejde.
Hvor alvorligt er det?
CVSS-scoren er 10,0 ud af 10, den højeste mulige. Angrebet kræver ingen login-oplysninger og ingen handling fra en bruger, og det kan udføres over netværket. Fortrolighed, integritet og tilgængelighed rammes alle i højeste grad, og scope-ændringen betyder, at et angreb kan brede sig ud over den komponent, hvor det starter. Der er ved offentliggørelsen ikke oplysninger om aktiv udnyttelse i praksis, men kombinationen af lav kompleksitet og ingen krav om login gør sårbarheden attraktiv at udnytte.
Hvad gør jeg nu?
Følgende punkter bør gennemføres i den angivne rækkefølge.
- Opdatér Adobe Campaign Classic til den version, Adobe angiver som rettet i deres sikkerhedsbulletin for CVE-2026-73369.
- Kan opdateringen ikke gennemføres straks, begræns adgangen til ACC-administrationsgrænseflader til betroede netværk og VPN.
- Gennemgå adgangslogger for usædvanlig aktivitet, især uventede kald til API’er eller administrationssider siden offentliggørelsen.
- Roter adgangskoder og API-nøgler tilknyttet ACC-installationen efter opdatering.
- Informér databeskyttelsesrådgiver eller DPO, hvis der er mistanke om, at persondata kan være tilgået.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv har ressourcer til at verificere patchstatus eller undersøge logs.
Opdatér straks
Vi anbefaler, at opdateringen til Adobe Campaign Classic gennemføres straks, uanset om systemet vender ud mod internettet eller kun bruges internt, fordi sårbarheden kræver hverken login eller brugerhandling. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde. Er systemet driftskritisk og kan ikke lukkes ned med det samme, bør adgangen midlertidigt begrænses til et minimum, mens opdateringen forberedes.
Tidslinje
Konkrete eksempler
Marketingafdeling rammes via kampagnesystem
En dansk detailvirksomhed bruger Adobe Campaign Classic til at sende nyhedsbreve til kunder. En angriber udnytter sårbarheden til at få systemet til at udføre kode uden at logge ind, og opnår adgang til kundedatabasen med navne, e-mailadresser og købshistorik. Virksomheden opdager først forholdet, da unormal trafik observeres i systemets logfiler flere dage senere.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores installation af Adobe Campaign Classic er ramt?
Tjek den installerede version op mod Adobes sikkerhedsbulletin for CVE-2026-73369. Er versionen ældre end den, Adobe angiver som rettet, er systemet sårbart.
Kan vi vente med opdateringen til weekenden?
Det frarådes. Sårbarheden kræver ingen login og ingen brugerhandling, og angreb kan derfor ske automatiseret og uden varsel. Vi anbefaler at opdatere så snart det praktisk kan lade sig gøre.
Er vi allerede blevet angrebet?
Det kan ikke afgøres uden en gennemgang af logs. Se efter usædvanlige kald til administrationssider eller API’er i ACC og kontakt en sikkerhedsrådgiver ved tvivl.
Skal vi anmelde hændelsen til Datatilsynet?
Kun hvis der er konkret mistanke om, at persondata er blevet tilgået eller lækket. Dokumentér undersøgelsen, og involvér jeres DPO i vurderingen.
Påvirker sårbarheden også data hos vores eksterne marketingbureau?
Ja, hvis bureauet administrerer jeres ACC-installation eller har adgang til den samme instans. Kontakt bureauet for at bekræfte, at deres opdatering er gennemført.
Hvad koster det at vente med at opdatere?
Risikoen er fuld kompromittering af kundedata og kampagnesystemet, samt mulig spredning videre i netværket. Omkostningen ved en opdatering er langt mindre end omkostningen ved en databrist.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Adobe Campaign Classic (ACC) is affected by an Improper Control of Generation of Code (‘Code Injection’) vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.