CVE-2026-82011: Kritisk SQL-fejl i Adobe Campaign Classic
SQL-indsprøjtning i Adobe Campaign Classic lader en lavrettighedsbruger læse og delvist ændre data. Opdatér til den rettede version.
Hvad er det?
SQL-indsprøjtning (SQL injection) er en teknik, hvor en angriber indsætter skadelig kode i et systems databaseforespørgsler for at få adgang til data, den ikke er beregnet til at se eller ændre. CVE-2026-82011 er en sådan sårbarhed i Adobe Campaign Classic (ACC), et system til at planlægge og udsende markedsføringskampagner via e-mail, sms og andre kanaler. Fejlen gør det muligt at omgå en indbygget sikkerhedsfunktion og derved opnå uautoriseret læseadgang samt begrænset skriveadgang til data i systemet, selv med en konto med lave rettigheder.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der bruger Adobe Campaign Classic til at styre kundekampagner og kundedata. NVD-oplysningerne for denne sag angiver ikke specifikke versionsnumre. Vi anbefaler derfor, at I slår op i Adobes officielle sikkerhedsbulletin for CVE-2026-82011 for at se præcis, hvilke versioner af ACC der er berørt, og hvilken version I skal opgradere til.
Hvad kan ske?
En bruger med en almindelig, lavt privilegeret konto i systemet kan udnytte fejlen til at læse data, vedkommende normalt ikke har adgang til, for eksempel kundelister, kampagnedata og personoplysninger, samt foretage begrænsede ændringer i databasen. For en dansk virksomhed kan det betyde brud på persondatasikkerheden, tab af tillid hos kunder og en pligt til at vurdere anmeldelse til Datatilsynet, hvis der er tale om personoplysninger.
Hvor alvorligt er det?
CVSS-score er 9,1 ud af 10, hvilket er kritisk. Angrebet kan ske over netværket (AV:N) med lav kompleksitet (AC:L) og kræver kun en konto med lave rettigheder (PR:L), ingen brugerinteraktion er nødvendig (UI:N). At scope er ændret (S:C) betyder, at sårbarheden kan påvirke data og funktioner uden for selve den sårbare komponent. Der er, pr. offentliggørelsesdatoen 22. september 2026, ingen offentlig oplysning om aktiv udnyttelse i naturen.
Hvad gør jeg nu?
Følg disse trin for at lukke sårbarheden og begrænse risikoen, mens I opdaterer.
- Find den aktuelle version af jeres Adobe Campaign Classic-installation og opdatér til den version, Adobe angiver som rettet i sikkerhedsbulletinen for CVE-2026-82011.
- Gennemgå adgangsrettigheder for alle brugere med lav-privilegerede konti i ACC, og fjern konti, der ikke er i aktivt brug.
- Kontrollér logfiler for usædvanlige databaseforespørgsler eller adgangsmønstre siden sårbarheden blev kendt, for at vurdere om systemet allerede har været udsat for forsøg.
- Isolér ACC-systemet bag ekstra netværksadgangskontrol, hvis en øjeblikkelig opdatering ikke er mulig.
- Vurdér, om der er behandlet personoplysninger, der kan være berørt, og forbered en eventuel anmeldelse til Datatilsynet.
- Kontakt en sikkerhedsrådgiver, hvis I er i tvivl om, hvilken version I kører, eller hvordan opdateringen skal håndteres uden at forstyrre kampagnedrift.
Opdatér inden for 7 dage
Vi anbefaler, at I opdaterer Adobe Campaign Classic til den af Adobe udpegede rettede version så hurtigt som muligt, da sårbarheden giver adgang til fortrolige data med relativt få forudsætninger for angriberen. Det er kun forsvarligt at vente, hvis systemet er fuldstændig isoleret fra netværk og ikke tilgås af eksterne eller lavt betroede brugere. I alle andre tilfælde bør opdateringen prioriteres inden for den kommende uge.
Tidslinje
Konkrete eksempler
Markedsføringsafdeling i en dansk detailkæde
En medarbejder i marketingafdelingen med en almindelig ACC-konto udnytter sårbarheden til at hente kundelister og kampagnedata, som normalt kun ledelsen har adgang til. Data om kundeadfærd og kontaktoplysninger bliver eksponeret, og virksomheden må vurdere, om hændelsen skal anmeldes som et databrud.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres organisation bruger Adobe Campaign Classic til markedsføringskampagner. Tjek jeres installerede version op mod Adobes sikkerhedsbulletin for CVE-2026-82011 for at se, om jeres version er blandt de berørte.
Kræver angrebet, at nogen klikker på noget?
Nej. Der kræves ingen brugerinteraktion. En angriber skal blot have en konto med lave rettigheder i systemet for at kunne udnytte sårbarheden.
Kan vi vente til weekenden med at opdatere?
Det afhænger af, hvor eksponeret systemet er. Er ACC tilgængeligt for mange brugere eller fra internettet, bør opdateringen ske hurtigst muligt og ikke afvente en fast opdateringsdag. Er systemet stærkt isoleret, kan en kort udsættelse forsvares, mens I planlægger opdateringen.
Hvordan tjekker vi, om vi allerede er blevet udnyttet?
Gennemgå logfiler for databaseforespørgsler og adgang i ACC for usædvanlige mønstre, især fra konti med lave rettigheder, der har foretaget usædvanlige forespørgsler eller ændringer.
Skal vi anmelde noget til Datatilsynet?
Hvis I vurderer, at personoplysninger kan være blevet læst eller ændret uautoriseret, skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne og dokumentere jeres vurdering, uanset om I ender med at anmelde eller ej.
Hvad gør vi, hvis vi ikke selv kan finde den rettede version?
Kontakt Adobe support eller en ekstern sikkerhedsrådgiver, der kan hjælpe med at identificere jeres nuværende version og gennemføre opdateringen korrekt.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Adobe Campaign Classic (ACC) is affected by an Improper Neutralization of Special Elements used in an SQL Command (‘SQL Injection’) vulnerability that could result in a Security feature bypass. A low-privileged attacker could leverage this vulnerability to bypass security measures and gain unauthorized read and limited write access. Exploitation of this issue does not require user interaction. Scope is changed.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.