CVE-2026-75721: Kritisk fejl i Adobe Campaign Classic

CVE-2026-75721 er en sårbarhed i Adobe Campaign Classic, et system til at styre og udsende marketingkampagner via e-mail og sms. Fejlen er en kodeinjektion, som betyder at systemet fejlagtigt kan overtales til at udføre kode, som angriberen sender ind, i stedet for kun at behandle det som almindelige data. Fordi fejlen kan udnyttes over netværket uden at nogen skal logge ind eller klikke på noget, kan en angriber i praksis overtage kontrollen med den server, som Campaign Classic kører på.

Sårbarheden rammer virksomheder og organisationer, der kører Adobe Campaign Classic, typisk marketingafdelinger og kommunikationsenheder i mellemstore og store virksomheder samt kommuner, der bruger platformen til nyhedsbreve og kampagnestyring. Alle installationer, der er tilgængelige fra internettet eller fra et internt netværk, som en angriber allerede har fodfæste i, er i risiko, uanset hvilken specifik version der kører, indtil Adobes rettede version er installeret.

En angriber kan udnytte fejlen til at køre sin egen kode på serveren med de rettigheder, som Campaign Classic-processen har. I praksis kan det betyde fuld overtagelse af serveren, adgang til kundedata og e-mail-lister, mulighed for at sende phishing-kampagner ud i virksomhedens navn, eller brug af serveren som springbræt videre ind i det interne netværk. Fordi sårbarheden også påvirker fortrolighed, integritet og tilgængelighed på samme tid, kan konsekvensen både være datalæk, manipulerede kampagner og nedetid.

CVSS-scoren er 10 ud af 10, den højest mulige. Angrebet kræver ikke login, ingen brugerhandling og kan udføres over netværket med lav teknisk kompleksitet. Scope er ændret, hvilket betyder at angriberen potentielt kan påvirke andre komponenter end selve den sårbare kode. Der er ved offentliggørelsen ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb, men kombinationen af høj alvorlighed og lav angrebskompleksitet gør, at det må forventes, at forsøg på udnyttelse kommer hurtigt.

Følgende trin bør gennemføres i den nævnte rækkefølge:

1. Installér Adobes sikkerhedsopdatering til Campaign Classic så snart den er tilgængelig via Adobes officielle sikkerhedsbulletin, og verificér, at den installerede version matcher den rettede version.
2. Afgræns adgangen til Campaign Classic-servere, så de kun kan tilgås fra betroede netværk eller via VPN, indtil opdateringen er på plads.
3. Gennemgå logs for usædvanlig aktivitet, herunder uventede processer eller filer oprettet af Campaign Classic-tjenesten.
4. Skift adgangskoder og API-nøgler, der er brugt sammen med systemet, hvis der er mistanke om, at serveren har været tilgængelig for angreb.
5. Informér relevante interessenter internt, hvis kundedata kan have været eksponeret.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere patch-status eller finde tegn på kompromittering, eller hvis systemet ikke kan opdateres med det samme.