CVE-2026-75728: Kritisk fejl i Adobe Campaign Classic

CVE-2026-75728 er en fejl i autorisation i Adobe Campaign Classic, et system til at planlægge og afsende marketingkampagner og kundekommunikation via e-mail og sms. Fejltypen kaldes incorrect authorization: systemet tjekker ikke korrekt, om en bruger eller proces reelt har ret til at udføre en handling, før den udføres. I praksis betyder det, at en angriber kan få adgang til funktioner og data, som normalt kræver rettigheder, angriberen ikke har. Adobe skriver, at fejlen kan udnyttes til at køre vilkårlig kode i konteksten af den bruger, der er logget ind, uden at brugeren selv skal foretage sig noget.

Det rammer virksomheder og kommuner, der bruger Adobe Campaign Classic til at styre kundekommunikation, nyhedsbreve eller kampagner. Det gælder typisk marketingafdelinger, kundeserviceteams og kommunale forvaltninger, der sender masseudsendelser. Da NVD ikke angiver konkrete versionsnumre for denne sårbarhed, bør I altid tjekke jeres installerede version op mod Adobes officielle sikkerhedsbulletin for produktet, før I konkluderer, om I er ramt.

En angriber, der udnytter fejlen, kan læse og ændre data, som normalt kræver højere rettigheder, for eksempel kundelister, kampagneindhold eller kontooplysninger. Da sårbarheden ikke kræver login eller brugerinteraktion, kan den i teorien udnyttes automatiseret over netværket. Systemets tilgængelighed påvirkes ikke direkte, så det er ikke sandsynligt, at platformen går ned, men risikoen ligger i tab af fortrolighed og integritet: angriberen kan læse følsomme kundedata og ændre indhold i kampagner, der sendes ud i jeres navn.

CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kan ske over netværket, kræver lav teknisk kompleksitet, ingen forudgående login og ingen handling fra en bruger. Det gør sårbarheden let at automatisere for en angriber, der kender adgangen til systemet. Der er ikke belæg for, at fejlen er udnyttet i praksis endnu, men den lave adgangsbarriere betyder, at det kan ændre sig hurtigt, når detaljer om fejlen bliver kendt.

Sådan lukker I hullet og begrænser risikoen, mens I venter på opdatering:

1. Tjek jeres version af Adobe Campaign Classic op mod Adobes sikkerhedsbulletin for CVE-2026-75728, og installér den rettede version, så snart den er tilgængelig.
2. Indtil da: begræns netværksadgangen til Campaign Classic-serveren, så kun kendte, betroede ip-adresser kan nå den.
3. Gennemgå adgangslogfiler for usædvanlig aktivitet, især forsøg på at tilgå funktioner uden gyldig session.
4. Skift adgangskoder og gennemgå rettigheder for konti med adgang til systemet, hvis I mistænker uautoriseret adgang.
5. Informér jeres kunderettede afdelinger om, at kampagneindhold bør kontrolleres, indtil opdateringen er på plads.
6. Er I i tvivl om, hvordan I identificerer jeres version eller anvender rettelsen sikkert, så bør I hente hjælp fra en it-sikkerhedsrådgiver.