CVE-2026-82013: Kritisk SSRF-fejl i Adobe Campaign Classic

CVE-2026-82013 er en sårbarhed i Adobe Campaign Classic (ACC), det marketingautomatiseringssystem mange virksomheder bruger til at sende e-mails og kampagner til kunder. Fejlen er en SSRF, hvor serveren kan snydes til at sende forespørgsler til interne adresser og systemer, den normalt ikke har adgang til udefra. En bruger med lav adgang, for eksempel en almindelig kampagnemedarbejder, kan udnytte fejlen til at hæve sine rettigheder og nå frem til ressourcer, som skulle have været beskyttet bag firewall eller adgangsstyring. Der kræves ingen handling fra andre brugere, og angrebet kan udføres over netværket.

Sårbarheden rammer virksomheder og organisationer, der bruger Adobe Campaign Classic til e-mail- og kampagnestyring, herunder danske virksomheder med marketingafdelinger, der administrerer kundedata og udsendelser via platformen. Alle installationer, der ikke er opdateret med Adobes seneste sikkerhedsopdatering, er potentielt udsat. Det gælder både lokalt hostede (on-premise) og delvist skybaserede opsætninger af ACC.

En medarbejder eller ekstern part med et almindeligt, lavt rettighedsniveau i systemet kan udnytte fejlen til at få adgang til interne netværksressourcer, som kampagnesystemet normalt kan tilgå, men mennesker udenfor ikke kan. Det kan i praksis betyde adgang til interne administrationsgrænseflader, databaser med kundeoplysninger eller andre interne tjenester. Fordi angrebet ændrer omfanget (scope changed), kan konsekvensen sprede sig til andre dele af infrastrukturen end selve kampagnesystemet, med risiko for tab af fortrolighed, ændring af data og driftsstop.

CVSS-scoren er 9,9 ud af 10, hvilket er den højeste kategori, kritisk. Angrebet kræver kun lave rettigheder, ingen brugerinteraktion, og kan udføres over netværket med lav teknisk kompleksitet. Fuld fortrolighed, integritet og tilgængelighed er i høj risiko (C:H/I:H/A:H), og fordi omfanget ændres, kan en angriber påvirke systemer uden for selve Campaign Classic. Der er ved offentliggørelsen ikke rapporteret om aktiv udnyttelse i praksis, men den lave adgangsbarriere og alvorlige konsekvens gør fejlen til en prioritet.

Følgende trin bør gennemføres i denne rækkefølge:

1. Opdatér Adobe Campaign Classic til den version, Adobe angiver som rettet i deres sikkerhedsbulletin for CVE-2026-82013. Det lukker selve hullet.
2. Gennemgå adgangsrettigheder for alle brugere i systemet, og fjern unødvendige rettigheder, så færrest muligt kan udføre handlinger, der kunne udnyttes.
3. Kontrollér logfiler for usædvanlige udgående forespørgsler fra ACC-serveren til interne adresser, som kan tyde på tidligere udnyttelse.
4. Segmentér netværket, så kampagnesystemet ikke har unødvendig adgang til interne administrationssystemer og databaser.
5. Informér relevante medarbejdere om, at opdateringen er kritisk, og at midlertidig nedetid kan forekomme under installationen.
6. Er I i tvivl om, hvordan opdateringen påvirker jeres opsætning, eller finder I tegn på misbrug, bør I inddrage en ekstern sikkerhedsrådgiver til at gennemgå systemet.