CVE-2026-76193: Kritisk SSRF-fejl i Adobe Campaign Classic

CVE-2026-76193 er en sårbarhed af typen SSRF, forkortelse for Server-Side Request Forgery. Det betyder, at en server kan narres til at sende forespørgsler til systemer, som normalt ikke er tilgængelige udefra, for eksempel interne netværk eller cloud-tjenester. I Adobe Campaign Classic, et system til at planlægge og udsende markedsføringskampagner og e-mails, kan fejlen udnyttes til at få serveren til at udføre vilkårlig kode i den sammenhæng, den aktuelle bruger kører i. Sårbarheden kræver hverken login eller handling fra en bruger, og den kan udnyttes over netværket. Fordi angrebets omfang er ændret, kan konsekvenserne række ud over selve Campaign Classic-installationen og påvirke andre systemer, serveren har adgang til.

Sårbarheden rammer organisationer, der kører Adobe Campaign Classic til markedsføring, nyhedsbreve og kundekommunikation. Det gælder typisk mellemstore og store virksomheder samt offentlige institutioner, der bruger platformen til at håndtere kundedata og udsende kampagner. Adobe har ikke oplyst specifikke versioner i den offentliggjorte information, så alle installationer bør kontrolleres mod Adobes sikkerhedsbulletin for at afklare, om den aktuelle version er ramt.

En angriber kan udnytte fejlen til at få serveren til at tilgå interne ressourcer, som normalt er beskyttet af firewalls, for eksempel administrationsgrænseflader, databaser eller metadata-tjenester i en cloud-løsning. Fordi sårbarheden også giver mulighed for kodekørsel, kan en angriber i praksis overtage serveren, stjæle kundedata og persondata fra kampagnesystemet eller bruge serveren som adgangsvej videre ind i virksomhedens netværk. For en dansk virksomhed betyder det risiko for databrud, driftsstop af kampagnesystemet og mulig pligt til at anmelde bruddet til Datatilsynet.

CVSS-scoren er 10 ud af 10, den højest mulige. Angrebet kræver ikke login og ingen handling fra en bruger, det kan udføres over netværket, og det påvirker fortrolighed, integritet og tilgængelighed i højeste grad. Der er pr. offentliggørelsesdatoen ikke oplysninger om, at sårbarheden aktivt udnyttes, men kombinationen af lav kompleksitet og ingen krav til rettigheder gør, at den kan udnyttes hurtigt, når detaljerne er offentligt kendte.

Følgende trin bør gennemføres for at lukke sårbarheden og begrænse risikoen:

1. Opdatér Adobe Campaign Classic til den version, Adobe angiver som rettet i deres sikkerhedsbulletin for CVE-2026-76193.
2. Kortlæg, om serveren har netværksadgang, den ikke har brug for, og begræns udgående forbindelser fra Campaign Classic-serveren til kun de tjenester, der er nødvendige.
3. Gennemgå logfiler for usædvanlige udgående forespørgsler fra serveren, især mod interne IP-adresser eller cloud-metadata-tjenester.
4. Isolér Campaign Classic-serveren i et separat netværkssegment, hvis det ikke allerede er tilfældet, så en eventuel kompromittering ikke breder sig direkte til resten af netværket.
5. Skift adgangskoder og nøgler, der er tilgængelige fra den serverkonto, Campaign Classic kører under, hvis I finder tegn på misbrug.
6. Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke kan opdatere systemet inden for kort tid, eller hvis I finder spor efter udnyttelse i jeres logfiler.