CVE-2026-75684: Kritisk XSS-sårbarhed i Adobe Connect
Stored XSS-sårbarhed i Adobe Connect (CVE-2026-75684) kan bruges til at kapre brugersessioner. Følg Adobes sikkerhedsbulletin og opdatér straks der er en rettelse.
Hvad er det?
CVE-2026-75684 er en sårbarhed i Adobe Connect, der bruges til webinarer, møder og e-læring online. Fejlen er en type kaldet stored cross-site scripting (XSS), hvor en angriber gemmer skadelig JavaScript-kode i et formularfelt på siden, for eksempel et navnefelt eller en kommentarboks. Koden ligger gemt på serveren, og udføres automatisk i browseren hos enhver, der senere åbner den pågældende side, uden at de selv har indtastet noget. Fordi angrebet kræver, at et offer selv besøger den forgiftede side, kaldes det brugerinteraktion. Til gengæld kræver angriberen ingen adgangskode for at placere koden i et sårbart felt.
Hvem rammer det?
Sårbarheden rammer organisationer, der bruger Adobe Connect til virtuelle møder, webinarer eller undervisning. Det gælder både private virksomheder og offentlige institutioner, herunder kommuner, der benytter platformen til borgerrettede eller interne arrangementer. NVD-oplysningerne angiver ikke en specifik version, så alle installationer bør betragtes som potentielt berørte, indtil Adobe har udgivet en officiel rettelse og version.
Hvad kan ske?
En angriber kan indsætte skadelig kode i et almindeligt tilgængeligt formularfelt, for eksempel i et mødenavn, en profiltekst eller en kommentar. Når en anden bruger, typisk en administrator eller mødeejer, senere åbner siden med feltet, køres koden i deres browser. Det kan bruges til at stjæle sessionscookies, overtage brugerens konto eller udføre handlinger på vegne af offeret, uden at offeret selv har gjort noget forkert ud over at åbne siden.
Hvor alvorligt er det?
CVSS-score er 9,3 ud af 10, hvilket er kritisk. Angriberen skal ikke være logget ind og kræver ingen rettigheder for at placere den skadelige kode. Til gengæld kræver det, at et offer selv besøger den ramte side, det er den eneste forhindring for angrebet. Fordi feltet ‘scope’ er ændret, kan skaden brede sig ud over det sårbare felt til andre dele af systemet. Der er ingen oplysninger om aktiv udnyttelse på offentliggørelsestidspunktet, men sårbarheden er offentligt kendt.
Hvad gør jeg nu?
Følgende trin bør gennemføres i denne rækkefølge:
- Tjek Adobes sikkerhedsbulletin for Adobe Connect og installer rettelsen, så snart den er tilgængelig for jeres version.
- Indtil rettelsen foreligger, begræns hvem der kan udfylde og se formularfelter, især i administrationsgrænseflader.
- Indfør eller stram en Content Security Policy (CSP), en browserindstilling der begrænser hvilke scripts der må køre, på jeres Connect-installation.
- Gennemgå logs for usædvanlig aktivitet i formularer eller uventede scriptindsættelser.
- Informer administratorer og mødeejere om ikke at åbne mistænkelige links eller mødesider fra ukendte afsendere.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv har kompetencerne til at vurdere CSP-konfiguration eller til at teste, om jeres installation er sårbar.
Opdatér, når Adobe udsender rettelse
Vi anbefaler, at I holder øje med Adobes sikkerhedsbulletin for Adobe Connect og installerer rettelsen, så snart den foreligger. Indtil da bør I stramme adgangen til formularfelter og indføre en Content Security Policy som ekstra beskyttelse. Det er i orden at vente med selve opdateringen til den er udgivet, men I bør ikke vente med at begrænse adgangen og informere brugerne i mellemtiden.
Tidslinje
Konkrete eksempler
Kapring af administratorsession i en dansk virksomhed
En medarbejder i en mellemstor dansk virksomhed opretter et webinar i Adobe Connect og indtaster et mødenavn, som i virkeligheden indeholder skjult skadelig kode. Da virksomhedens it-administrator senere åbner mødeoversigten for at godkende arrangementet, køres koden automatisk i administratorens browser. Angriberen får derved fat i administratorens sessionscookie og kan efterfølgende agere som administrator i systemet.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
Hvis I bruger Adobe Connect til møder, webinarer eller e-læring, bør I gå ud fra, at I er berørt, indtil Adobe har bekræftet, hvilke versioner der er rettet.
Hvordan kan vi tjekke, om vores installation er sårbar?
Se efter Adobes officielle sikkerhedsbulletin for CVE-2026-75684, den vil angive hvilke versioner der er ramt, og hvilken version der indeholder rettelsen.
Kan vi vente med at reagere til efter weekenden?
Da der ikke er kendt aktiv udnyttelse, kan I vente med selve opdateringen til rettelsen er udgivet, men vi anbefaler at begrænse adgangen til formularfelter allerede nu.
Kræver angrebet, at vi selv gør noget forkert?
Ja, en bruger skal selv besøge den side, hvor den skadelige kode er gemt, før angrebet virker. Det er den vigtigste forhindring for angriberen.
Skal vi anmelde dette til myndighederne?
Kun hvis I konstaterer, at sårbarheden faktisk er blevet udnyttet og har medført et databrud. Rent forebyggende opdatering kræver ikke anmeldelse.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Adobe Connect is affected by a stored Cross-Site Scripting (XSS) vulnerability that could be abused by an attacker to inject malicious scripts into vulnerable form fields. Malicious JavaScript may be executed in a victim’s browser when they browse to the page containing the vulnerable field, potentially gaining elevated access or control over the victim’s account or session. Scope is changed.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.