CVE-2026-82009: Kritisk SQL-fejl i Adobe Campaign Classic

CVE-2026-82009 er en sårbarhed i Adobe Campaign Classic, som er en platform til at styre e-mailkampagner og kundekommunikation. Fejlen er en SQL-indsprøjtning, hvilket betyder at systemet ikke renser brugerinput ordentligt, før det bruges i en databaseforespørgsel. En angriber, der allerede har en konto med høje rettigheder, kan indsætte egne SQL-kommandoer og derved få systemet til at udføre vilkårlig kode med samme adgang som den bruger, der er logget ind. Fordi sårbarheden ændrer omfanget, kan konsekvenserne brede sig til dele af systemet, der ligger uden for selve fejlen.

Sårbarheden rammer virksomheder og organisationer, der bruger Adobe Campaign Classic til marketingautomatisering, nyhedsbreve eller kundedataflow, typisk installeret on-premise. Det gælder både private virksomheder og offentlige institutioner, der administrerer store mængder kundedata eller borgerdata gennem platformen. Adobe har ikke i denne oversigt oplyst specifikke versionsnumre, så I bør slå jeres nuværende version op og sammenholde den med Adobes officielle sikkerhedsbulletin for CVE-2026-82009.

Hvis en angriber får fat i eller allerede har en konto med høje rettigheder, kan vedkommende bruge sårbarheden til at læse, ændre eller slette data i databasen, herunder kundeoplysninger og e-mail-lister. Fordi fejlen kan føre til kodeudførelse, kan en angriber også placere en bagdør, der giver fortsat adgang, selv efter opdatering af adgangskoder. For en dansk virksomhed betyder det risiko for tab af personoplysninger, hvilket kan udløse en anmeldelsespligtig databrud efter databeskyttelsesforordningen.

CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ikke, at en bruger klikker på noget, og det kan udføres over netværket med lav kompleksitet. Til gengæld kræver det, at angriberen allerede har en konto med høje rettigheder, hvilket begrænser hvem der kan udnytte fejlen direkte udefra. Der er ikke rapporteret aktiv udnyttelse eller offentligt tilgængelig proof-of-concept-kode på offentliggørelsestidspunktet, men både fortrolighed, integritet og tilgængelighed vurderes at kunne rammes fuldt ud.

Følgende trin lukker hullet og begrænser risikoen, mens I venter på eller implementerer opdateringen.

1. Opdatér Adobe Campaign Classic til den version, Adobe angiver som rettet i sikkerhedsbulletinen for CVE-2026-82009. Dette lukker selve sårbarheden.
2. Gennemgå listen over brugere med høje rettigheder i systemet, og fjern adgang for konti, der ikke længere har behov for det.
3. Skift adgangskoder for alle administrative konti, især hvis I mistænker, at en konto kan være kompromitteret.
4. Gennemgå logfiler for usædvanlig databaseaktivitet eller SQL-fejl fra de seneste uger op til offentliggørelsen.
5. Overvej at indføre eller stramme totrinsbekræftelse på administrative konti i Adobe Campaign Classic.
6. Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv kan verificere, om opdateringen er korrekt installeret, eller hvis I finder tegn på misbrug.