CVE-2026-76197: Kritisk fejl i Adobe Campaign Classic

CVE-2026-76197 er en sårbarhed i Adobe Campaign Classic (ACC), et system til marketingautomatisering og kundekommunikation. Fejlen er en OS-kommandoinjektion, hvilket betyder at systemet ikke renser input korrekt, før det sender det videre til serverens underliggende styresystem. En angriber kan derfor indsætte egne kommandoer, som serveren udfører, som var de en del af det oprindelige program. Sårbarheden kræver hverken login eller nogen handling fra en bruger, og den kan udnyttes over netværket. Fordi angrebet ændrer såkaldt scope, kan det påvirke andre dele af systemet end selve den sårbare komponent.

Sårbarheden rammer virksomheder og kommuner, der bruger Adobe Campaign Classic til at sende nyhedsbreve, styre kundedata eller automatisere markedsføring. Det gælder både on-premise-installationer og hybrid-opsætninger, hvor ACC kører på egne servere eller hos en driftsleverandør. Da NVD-data ikke angiver konkrete versionsnumre, bør I tjekke Adobes officielle sikkerhedsbulletin for at se, om jeres installerede version er omfattet.

En angriber kan opnå fuld kontrol over den server, hvor Adobe Campaign Classic kører, og køre vilkårlig kode med de rettigheder, systemet har. I praksis betyder det adgang til kundedata, mulighed for at ændre eller slette data, og risiko for at serveren bruges som springbræt videre ind i jeres netværk. Da ACC ofte indeholder navne, e-mailadresser og adfærdsdata på kunder, kan et angreb udløse en anmeldelsespligtig databrudshændelse efter databeskyttelsesreglerne.

CVSS-scoren er 10,0 ud af 10, den højeste mulige. Angrebet kræver ingen login-oplysninger og ingen handling fra en bruger, og det kan udføres over netværket med lav kompleksitet. Alle tre konsekvenskategorier, fortrolighed, integritet og tilgængelighed, er vurderet som høje. Der er ikke oplyst offentligt kendt udnyttelse eller proof of concept på offentliggørelsestidspunktet, men kombinationen af høj score og lav angrebsbarriere gør det sandsynligt, at der kommer forsøg på udnyttelse hurtigt.

Følg disse trin for at lukke hullet og begrænse skaden, hvis I allerede er ramt.

1. Opdatér Adobe Campaign Classic til den version, Adobe angiver som rettet i deres sikkerhedsbulletin for CVE-2026-76197. Dette lukker selve sårbarheden.
2. Indtil opdateringen er installeret, begræns netværksadgang til ACC-serveren, så kun kendte, nødvendige IP-adresser kan nå den.
3. Gennemgå logfiler for usædvanlig kommandoaktivitet eller uventede processer på serveren siden offentliggørelsesdatoen.
4. Tjek om serveren kører med unødvendigt høje rettigheder, og reducér dem, hvor det er muligt, så et eventuelt angreb begrænses.
5. Underret jeres databeskyttelsesrådgiver, hvis I finder tegn på kompromittering, så I kan vurdere anmeldelsespligt.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv har kapacitet til at verificere opdateringen eller undersøge logfiler grundigt.