CVE-2026-75699: Kritisk kodeinjektion i Adobe Campaign Classic

CVE-2026-75699 er en sårbarhed i Adobe Campaign Classic, et system til at styre og udsende markedsføringskampagner og nyhedsbreve. Fejlen skyldes kodeinjektion, en teknik hvor en angriber sender specielt formet input, som systemet fejlagtigt udfører som programkode i stedet for at behandle som almindelige data. Fordi svagheden ligger i selve behandlingen af input, kan en angriber få serveren til at afvikle egen kode med de rettigheder, den aktuelle bruger har. Scope er markeret som ændret, hvilket betyder at angrebet kan sprede sig ud over selve komponenten, der er sårbar, og påvirke andre dele af systemet eller andre brugere.

Det rammer virksomheder og kommuner, der bruger Adobe Campaign Classic til at styre e-mailkampagner, kundedata og automatiserede markedsføringsflows. Alle installationer, der endnu ikke har modtaget Adobes sikkerhedsopdatering udsendt i forbindelse med offentliggørelsen 22. september 2026, må betragtes som sårbare. Da systemet ofte er koblet direkte til CRM-data og kundelister, er det især relevant for marketingafdelinger og it-drift, der administrerer platformen.

En angriber kan uden at logge ind og uden at brugeren foretager sig noget, sende kode direkte til serveren og få den udført. Fordi angrebet kan ændre påvirkningsomfanget (scope changed), risikerer man, at kompromitteringen breder sig til andre systemer eller data, som Campaign Classic har adgang til. I praksis betyder det, at kundedata, e-mail-lister og kampagnemateriale kan blive stjålet, ændret eller slettet, og at serveren kan bruges som adgangspunkt til resten af netværket.

CVSS-scoren er 10,0 ud af 10, det højeste niveau. Angrebet kræver ingen godkendelse (PR:N), ingen brugerinteraktion (UI:N) og kan udføres over netværket med lav kompleksitet (AC:L). Det betyder, at en angriber blot skal kunne nå systemet over internettet for at udnytte fejlen. Fortrolighed, integritet og tilgængelighed er alle vurderet til høj påvirkning, så både datatyveri, dataændring og nedbrud er mulige konsekvenser. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes på offentliggørelsestidspunktet, men den kritiske score og manglen på krav til brugerhandling gør den til en oplagt målskive for automatiserede angreb.

Følgende trin bør gennemføres i denne rækkefølge:

1. Installér den sikkerhedsopdatering, Adobe har udsendt til Campaign Classic, på alle berørte servere.
2. Kontrollér om systemet er tilgængeligt fra internettet, og begræns adgangen til kun nødvendige it-medarbejdere og systemer, indtil opdateringen er verificeret.
3. Gennemgå logfiler for usædvanlig aktivitet, især uventede kald til administrationsgrænseflader eller API’er, i perioden op til opdateringen.
4. Skift adgangskoder og nøgler for integrationer, der er koblet til Campaign Classic, hvis der er mistanke om kompromittering.
5. Informér relevante dataansvarlige om hændelsen, hvis kundedata kan være berørt, med henblik på vurdering efter databeskyttelsesreglerne.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere, at opdateringen er korrekt installeret, eller hvis I finder tegn på misbrug.