CVE-2026-75745: Kritisk fejl i Adobe AEM Forms JEE

CVE-2026-75745 er en sårbarhed i Adobe Experience Manager Forms JEE, det system mange virksomheder og kommuner bruger til at bygge og udstille digitale formularer på deres hjemmeside eller borgerportal. Fejlen skyldes forkert autorisation, det vil sige at systemet ikke tjekker godt nok, om en bruger faktisk har ret til at udføre en given handling. I praksis betyder det, at en angriber uden login kan sende en forespørgsel til serveren og få den til at køre vilkårlig kode med rettighederne fra den bruger, serveren i forvejen kører som.

Sårbarheden rammer virksomheder og offentlige myndigheder, der kører Adobe Experience Manager Forms JEE på egne servere eller i eget hostingmiljø, typisk til digitale ansøgningsskemaer, kontraktgenerering eller borgerhenvendelser. Der er ikke oplyst konkrete versionsnumre i denne meddelelse, så alle installationer, der ikke har fået Adobes sikkerhedsopdatering fra september 2026, bør betragtes som sårbare, indtil andet er bekræftet.

En angriber kan udnytte fejlen over netværket uden at logge ind og uden at en medarbejder skal klikke på noget. Fordi scope er ændret, kan angrebet brede sig ud over selve formularmodulet og påvirke andre dele af systemet. I praksis kan det betyde, at angriberen får fuld kontrol over serveren, læser eller ændrer indsendte formulardata, herunder cpr-numre og kontraktoplysninger, og bruger serveren som adgangsvej videre ind i jeres netværk.

CVSS-scoren er 10 ud af 10, den højeste mulige. Angrebet kræver hverken login eller brugerhandling, og det kan udføres over netværket med lav kompleksitet. Fortrolighed, integritet og tilgængelighed rammes alle fuldt ud, og fordi angrebets omfang kan brede sig til andre systemkomponenter, kan konsekvensen række videre end selve formularsystemet. Der er ikke på offentliggørelsestidspunktet meldt om aktiv udnyttelse i praksis, men den lave angrebskompleksitet gør det sandsynligt, at det kan ske hurtigt.

Følgende punkter lukker hullet og begrænser skaden, hvis I ikke kan opdatere med det samme.

1. Installér Adobes sikkerhedsopdatering til Experience Manager Forms JEE fra Adobes officielle sikkerhedsbulletin. Det lukker selve fejlen.
2. Kan opdateringen ikke installeres straks, så afskær adgangen til formularmodulet fra internettet og tillad kun adgang fra kendte IP-adresser eller via VPN.
3. Gennemgå logfiler for usædvanlige forespørgsler mod formularendpoints, især i perioden omkring offentliggørelsen.
4. Skift adgangskoder og servicekonti, der bruges af AEM Forms-serveren, hvis der er mistanke om, at systemet allerede har været tilgængeligt uden opdatering i en periode.
5. Informér relevante systemejere og eventuelt DPO, hvis formularerne behandler personoplysninger, så en eventuel anmeldelsespligt til Datatilsynet kan vurderes.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv har ressourcer til at verificere, om systemet allerede er kompromitteret, eller hvis opdateringen kræver tilpasning af tilpasset kode i jeres formularer.