CVE-2026-82003: Alvorlig fejl i Adobe Campaign Classic

CVE-2026-82003 er en fejl i inputvalidering, altså mangelfuld kontrol af data, som et system modtager udefra, i Adobe Campaign Classic. Fejlen gør det muligt at få systemet til at udføre kode, det ikke burde udføre, fordi det ikke tjekker input godt nok efter. En angriber, der allerede har en lavt rettighedssat brugerkonto, kan udnytte fejlen til at køre vilkårlig kode i den sammenhæng, den aktuelle bruger arbejder i. Fordi sårbarheden ændrer det såkaldte scope, kan konsekvenserne brede sig til andre dele af systemet, end angriberen oprindeligt havde adgang til.

Sårbarheden rammer Adobe Campaign Classic i version 7.4.3 og alle tidligere versioner samt version 7.4.4. Det gælder installationer, der kører både på Windows-servere og på Linux-servere. I Danmark bruger blandt andet marketingafdelinger, e-handelsvirksomheder og kommuner Adobe Campaign Classic til at styre nyhedsbreve, kampagner og kundedata. Er I i tvivl om, hvilken version I kører, kan det ses i administrationskonsollen under systemoplysninger.

En angriber, der har fået fat i en almindelig brugerkonto med lave rettigheder, for eksempel via lækkede login-oplysninger eller phishing, kan udnytte fejlen til at køre egen kode på serveren. Fordi både fortrolighed, integritet og tilgængelighed rammes fuldt ud, kan angriberen læse og ændre kundedata, indsætte skjult funktionalitet eller lukke platformen ned. For en dansk virksomhed betyder det i praksis risiko for tab af kundedata fra marketingsystemet og mulig spredning til andre systemer, der er koblet til Campaign-serveren.

CVSS-scoren er 8,5 ud af 10, hvilket er alvorligt. Angrebet kræver ikke, at brugeren foretager sig noget (UI:N), men det kræver, at angriberen allerede har en lavt rettighedssat konto (PR:L) og at nogle betingelser uden for angriberens kontrol er opfyldt, hvilket gør angrebet teknisk krævende (AC:H). Der er ingen kendte tilfælde af aktiv udnyttelse eller offentliggjort angrebskode på tidspunktet for offentliggørelsen. Den høje kompleksitet betyder, at fejlen ikke er triviel at udnytte, men konsekvensen ved et vellykket angreb er alvorlig, fordi scope er ændret og alle tre CIA-egenskaber rammes fuldt ud.

Følgende trin lukker hullet og begrænser skaden, mens I venter på eller udfører opdateringen.

1. Opdatér Adobe Campaign Classic til den version, Adobe har rettet fejlen i. Tjek Adobes sikkerhedsbulletin for præcist versionsnummer.
2. Gennemgå alle brugerkonti med lave rettigheder og fjern konti, der ikke længere er i brug eller har unødvendig adgang.
3. Begræns netværksadgang til administrationsgrænsefladen, så den kun kan tilgås fra betroede net eller VPN.
4. Gennemgå logfiler for usædvanlig aktivitet fra lavt rettighedssatte konti i perioden op til offentliggørelsen.
5. Skift adgangskoder for konti, der har adgang til Campaign-serveren, hvis I er i tvivl om, de er kompromitterede.
6. Er I i tvivl om, hvordan opdateringen påvirker jeres opsætning, eller mangler I ressourcer til at gennemføre den, så kontakt Auroa eller jeres it-leverandør for hjælp.