CVE-2026-82004: Kritisk fejl i Adobe Campaign Classic
Kritisk fejl i Adobe Campaign Classic gør det muligt at overtage serveren uden login. Opdatér til nyeste version straks.
Hvad er det?
CVE-2026-82004 er en sårbarhed i Adobe Campaign Classic (ACC), et system til markedsføring og kundekommunikation, som mange virksomheder bruger til at sende nyhedsbreve og styre e-mailkampagner. Fejlen er en såkaldt kommandoinjektion: systemet renser ikke input korrekt, før det sendes videre til styresystemet på serveren. En angriber kan derfor indsætte egne kommandoer, som serveren udfører, som var de en del af det almindelige program.
Hvem rammer det?
Det rammer virksomheder og kommuner, der driver Adobe Campaign Classic på egen eller hostet server, og som endnu ikke har installeret den sikkerhedsopdatering, Adobe har udsendt til denne sårbarhed. Da NVD-oplysningerne ikke angiver konkrete versionsnumre, bør I tjekke jeres nuværende ACC-version op mod Adobes officielle sikkerhedsbulletin for at se, om den er ramt.
Hvad kan ske?
En angriber kan få fuld kontrol over den server, Adobe Campaign Classic kører på, uden at have et brugernavn eller kodeord og uden at nogen i virksomheden klikker på noget. Herfra kan angriberen læse og stjæle kundedata, sende phishing-mails ud fra jeres egen legitime mailinfrastruktur, eller bruge serveren som adgang videre ind i resten af netværket.
Hvor alvorligt er det?
Sårbarheden har den højest mulige score, 10 ud af 10. Den kan udnyttes over netværket, kræver ikke login og kræver ikke, at en bruger foretager sig noget. Angrebet er teknisk enkelt at gennemføre. Fordi omfanget er markeret som ændret (scope changed), kan konsekvenserne brede sig ud over selve Campaign Classic-systemet til andre dele af infrastrukturen. Der er ikke oplyst aktiv udnyttelse i det offentlige på offentliggørelsestidspunktet, men kombinationen af høj alvorlighed og lav kompleksitet gør, at det ofte følges hurtigt af angreb, når fejlen er kendt.
Hvad gør jeg nu?
Følgende punkter lukker hullet og begrænser skaden, hvis I allerede er ramt.
- Installer den sikkerhedsopdatering, Adobe har udsendt til Campaign Classic, på alle installationer med det samme.
- Er en opdatering ikke mulig med det samme, så afskær adgangen til systemet fra internettet eller begræns den til kendte, betroede IP-adresser.
- Gennemgå server- og applikationslogs for usædvanlige kommandoer eller uventede processer, der er startet af Campaign Classic-tjenesten.
- Skift adgangskoder og nøgler, der er gemt eller brugt af systemet, hvis I finder tegn på misbrug.
- Informer jeres databeskyttelsesansvarlige, hvis systemet indeholder personoplysninger, så en eventuel anmeldelse til Datatilsynet kan vurderes.
- Kontakt en sikkerhedsleverandør, hvis I ikke selv har ressourcer til at opdatere og undersøge systemet inden for kort tid, eller hvis I finder spor af indtrængen.
Opdatér inden for 24 timer
Vi anbefaler, at I installerer Adobes sikkerhedsopdatering til Campaign Classic med det samme, da sårbarheden kan udnyttes uden login og uden brugerinteraktion. Er systemet vendt mod internettet, bør opdateringen have højeste prioritet i dag. Det er kun forsvarligt at vente, hvis systemet allerede er fuldstændig isoleret fra netværket og ikke tilgængeligt udefra, men vi fraråder generelt at udskyde opdateringen af et system med denne alvorlighedsgrad.
Tidslinje
Konkrete eksempler
Mailplatform bliver springbræt til kundedata
En dansk detailvirksomhed bruger Adobe Campaign Classic til nyhedsbreve og kundeklubkommunikation. En angriber udnytter sårbarheden til at få adgang til serveren uden login, henter kundedatabasen med navne og e-mailadresser, og bruger derefter virksomhedens egen mailinfrastruktur til at sende phishing-mails til kunderne under virksomhedens navn.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi er ramt?
Slå jeres nuværende version af Adobe Campaign Classic op i Adobes sikkerhedsbulletin for CVE-2026-82004 og sammenlign med den version, hvor fejlen er rettet. Er I i tvivl, kan jeres it-leverandør eller Adobe-partner hjælpe med at afklare det.
Kan vi vente med opdateringen til efter weekenden?
Det frarådes. Sårbarheden kræver hverken login eller brugerhandling og kan udnyttes over internettet, så en server, der er tilgængelig udefra, bør opdateres samme dag, oplysningerne kommer frem.
Skal vi anmelde det til Datatilsynet?
Kun hvis I finder tegn på, at systemet faktisk er blevet udnyttet, og at personoplysninger er blevet tilgået eller kompromitteret. Ren opdatering af et sårbart, men ikke-udnyttet system, udløser ikke i sig selv en anmeldepligt.
Vi bruger Adobe Campaign Classic hostet af en leverandør, er det så vores ansvar?
Kontakt leverandøren og bed om skriftlig bekræftelse på, at opdateringen er installeret. I er som dataansvarlig stadig forpligtet til at følge op, selv om driften er outsourcet.
Hvordan opdager vi, om nogen allerede har udnyttet fejlen?
Gennemgå logs for uventede kommandoer, nye brugerkonti, ukendte processer eller unormal netværkstrafik fra serveren. Har I ikke selv kompetencerne til det, bør en sikkerhedsleverandør inddrages til en undersøgelse.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Adobe Campaign Classic (ACC) is affected by an Improper Neutralization of Special Elements used in an OS Command (‘OS Command Injection’) vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.