CVE-2026-76195: Kritisk fejl i Adobe Campaign Classic
Adobe Campaign Classic har en kritisk sårbarhed (CVE-2026-76195), der lader angribere køre vilkårlige kommandoer på serveren uden login. Opdatér straks.
Hvad er det?
CVE-2026-76195 er en fejl i Adobe Campaign Classic, et system til at styre marketingkampagner og e-mail-udsendelser. Fejlen er en såkaldt kommandoinjektion, hvor systemet ikke renser input ordentligt, før det sender det videre til serverens styresystem. Det betyder, at en angriber kan sende specielt formede kommandoer, som serveren udfører, som var de en del af den normale drift. Fordi sårbarheden ændrer såkaldt ‘scope’, kan angrebet også påvirke andre dele af systemet end der, hvor fejlen findes.
Hvem rammer det?
Det rammer virksomheder og kommuner, der driver Adobe Campaign Classic på egne servere til at sende nyhedsbreve, kampagner eller anden markedsføringskommunikation. Både marketingafdelinger og den it-afdeling, der drifter systemet, er berørt. Alle installationer, der er tilgængelige fra internettet uden ekstra beskyttelse, er særligt udsatte.
Hvad kan ske?
En angriber kan overtage serveren fuldstændigt uden at have et brugernavn eller kodeord og uden at nogen medarbejder skal klikke på noget. Det åbner for tyveri af kundedata som navne, e-mailadresser og adfærdsdata, installation af skadelig kode eller brug af serveren som adgangspunkt til resten af netværket. Fordi Adobe Campaign Classic ofte er koblet til andre systemer som CRM og databaser, kan konsekvensen række langt ud over selve markedsføringssystemet.
Hvor alvorligt er det?
Sårbarheden har den højeste score på CVSS-skalaen, 10 ud af 10. Angrebet kræver ikke login, kræver ikke at en bruger foretager sig noget, og kan udføres over netværket uden særlig teknisk kompleksitet. Det gør det til en af de mest alvorlige typer sårbarheder, der findes. Der er ikke oplyst om aktiv udnyttelse i det åbne, men det ændrer ikke på, at risikoen ved at vente er stor, når adgangsbetingelserne er så lave.
Hvad gør jeg nu?
Følg disse trin for at lukke hullet og begrænse skaden, hvis systemet allerede er kompromitteret.
- Opdatér Adobe Campaign Classic til den version, Adobe angiver som rettet i deres sikkerhedsbulletin for CVE-2026-76195.
- Kontrollér, om jeres installation er tilgængelig direkte fra internettet, og begræns adgangen til kun betroede ip-adresser eller et VPN, indtil opdateringen er gennemført.
- Gennemgå server- og adgangslogfiler for usædvanlige kommandoer eller processer i perioden op til offentliggørelsen.
- Skift adgangskoder og nøgler, der er gemt eller brugt på serveren, hvis der er tegn på uautoriseret adgang.
- Informer de systemer, der er koblet til Adobe Campaign Classic, som CRM eller databaser, så de kan overvåges for unormal aktivitet.
- Kontakt en ekstern sikkerhedsrådgiver, hvis I ikke selv har ressourcer til at verificere, om systemet allerede er kompromitteret, eller hvis opdateringen ikke kan gennemføres med det samme.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer Adobe Campaign Classic med det samme og i samme omgang tjekker, at systemet ikke er direkte tilgængeligt fra internettet uden begrænsning. Det er ikke forsvarligt at vente til en planlagt driftsvinduedato, når adgangsbetingelserne for angrebet er så lave. Er I i tvivl om, hvorvidt systemet allerede er ramt, bør I få en ekstern gennemgang af logfiler, før I lukker sagen.
Tidslinje
Konkrete eksempler
Marketingafdeling i dansk detailkæde rammes
En dansk detailkæde bruger Adobe Campaign Classic til at sende nyhedsbreve og tilbud til over 100.000 kunder. Systemet er tilgængeligt fra internettet, så medarbejdere kan logge på hjemmefra. En angriber udnytter sårbarheden til at få kontrol over serveren, tilgår kundedatabasen og henter e-mailadresser og købshistorik ud, uden at nogen medarbejder har foretaget sig noget forkert.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den sårbare version af Adobe Campaign Classic?
Log ind i jeres administrationsværktøj til Adobe Campaign Classic og se den installerede version. Sammenhold den med Adobes sikkerhedsbulletin for CVE-2026-76195, hvor den rettede version er angivet. Er I i tvivl, bør jeres it-leverandør eller drift kunne oplyse versionen.
Kan vi vente med opdateringen til efter weekenden?
Det frarådes. Sårbarheden kan udnyttes uden login og uden brugerinteraktion over internettet, så jo længere systemet er eksponeret, jo større er risikoen. Kan opdateringen ikke gennemføres med det samme, bør adgangen til systemet begrænses midlertidigt.
Er vi allerede blevet angrebet?
Det kan I ikke vide uden at undersøge log- og adgangsdata. Gennemgå server- og webserverlogfiler for usædvanlige kommandoer, uventede processer eller ukendte netværksforbindelser i perioden op til opdateringen.
Skal hændelsen anmeldes til myndighederne?
Kun hvis I finder tegn på, at persondata er blevet tilgået eller lækket. I så fald skal det vurderes efter databeskyttelsesforordningen, og en anmeldelse til Datatilsynet kan være nødvendig inden for 72 timer fra opdagelsen.
Påvirker fejlen kun Adobe Campaign Classic, eller kan andre systemer også være ramt?
Fejlen sidder i Adobe Campaign Classic, men fordi angrebet kan give fuld kontrol over serveren, kan alle systemer, der er netværksforbundet til den, potentielt blive påvirket, herunder CRM-systemer og databaser med kundedata.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Adobe Campaign Classic (ACC) is affected by an Improper Neutralization of Special Elements used in an OS Command (‘OS Command Injection’) vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.