CVE-2026-82443: Kritisk SSRF-fejl i Adobe Campaign Classic
SSRF-sårbarhed i Adobe Campaign Classic gør det muligt for lavt-privilegerede angribere at nå interne systemer. Opdatér med det samme.
Hvad er det?
CVE-2026-82443 er en SSRF-sårbarhed (Server-Side Request Forgery) i Adobe Campaign Classic. SSRF betyder, at en angriber kan narre serveren til selv at sende forespørgsler til systemer, den ellers har adgang til, men som angriberen normalt ikke kan nå direkte udefra. Fejlen findes i den måde, Adobe Campaign håndterer indgående forespørgsler på, og gør det muligt at eskalere rettigheder ved at misbruge serverens egen netværksadgang. Sårbarheden kræver kun en lavt privilegeret konto i systemet og ingen handling fra en anden bruger. CWE-klassifikationen er CWE-918, som dækker netop denne type fejl.
Hvem rammer det?
Sårbarheden rammer Adobe Campaign Classic i version 7.4.3 og alle tidligere versioner, samt version 7.4.4. Det gælder både installationer på Windows-servere og på Linux-servere, da fejlen ligger i selve applikationen og ikke i det underliggende styresystem. Danske virksomheder og kommuner, der bruger Adobe Campaign til nyhedsbreve, marketingautomatisering eller kundekommunikation, bør tjekke deres version.
Hvad kan ske?
En bruger med en almindelig, lavt privilegeret konto i Adobe Campaign, for eksempel en marketingmedarbejder, kan udnytte sårbarheden til at få serveren til at kontakte interne systemer, den normalt ikke har adgang til udefra. Det kan give indblik i interne administrationsgrænseflader, databaser eller cloud-metadata, og dermed bane vejen for yderligere rettighedseskalering i netværket. Da scope er ændret (scope changed), kan konsekvenserne række ud over selve Adobe Campaign-installationen og påvirke andre systemer i samme netværk.
Hvor alvorligt er det?
CVSS-scoren er 9,6 ud af 10, hvilket er kritisk. Angrebet kræver netværksadgang, men kun lav kompleksitet og en lavt privilegeret konto (PR:L). Der kræves ingen handling fra en anden bruger (UI:N). Konsekvensen er høj påvirkning af fortrolighed og integritet, mens tilgængeligheden ikke påvirkes. Der er ikke offentliggjort oplysninger om aktiv udnyttelse af sårbarheden på nuværende tidspunkt af offentliggørelsen.
Hvad gør jeg nu?
Følgende skridt lukker hullet og begrænser risikoen, mens I venter på eller implementerer opdateringen.
- Opdatér Adobe Campaign Classic til den version, Adobe har udgivet med rettelse af CVE-2026-82443. Tjek Adobes sikkerhedsbulletin for det korrekte versionsnummer til jeres installation.
- Gennemgå adgangsrettigheder for alle konti i Adobe Campaign, og fjern unødvendige rettigheder fra lavt privilegerede brugere.
- Begræns serverens udgående netværksadgang, så den kun kan nå de systemer, den reelt har brug for, som en ekstra barriere mod SSRF-angreb.
- Gennemgå logs for Adobe Campaign-serveren for usædvanlige udgående forespørgsler, især til interne IP-adresser eller metadata-tjenester.
- Kontakt Adobe eller en sikkerhedsrådgiver, hvis I ikke selv har kapacitet til at verificere opdateringen eller vurdere om jeres opsætning allerede er kompromitteret.
Opdatér inden for få dage
Vi anbefaler, at I opdaterer Adobe Campaign Classic så hurtigt som muligt, da sårbarheden kræver minimal adgang og ingen brugerinteraktion for at blive udnyttet. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde, da en lavt privilegeret konto er nok til at udnytte fejlen. Det er kun i orden at vente, hvis I i mellemtiden har isoleret serveren fra alt unødvendigt udgående netværk, og løbende overvåger for mistænkelig aktivitet.
Tidslinje
Konkrete eksempler
Kompromitteret marketingkonto giver adgang til interne systemer
En dansk virksomhed bruger Adobe Campaign til at sende nyhedsbreve til kunder. En marketingmedarbejders konto bliver kompromitteret via phishing. Angriberen bruger den lavt privilegerede konto til at udnytte SSRF-sårbarheden og få Adobe Campaign-serveren til at kontakte interne administrationssystemer, som ellers er beskyttet bag firewall. Herfra får angriberen adgang til følsomme kundedata og kan arbejde videre mod andre systemer i netværket.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I kører Adobe Campaign Classic i version 7.4.3 eller tidligere, eller version 7.4.4. Tjek versionsnummeret i jeres administrationskonsol eller kontakt jeres Adobe-leverandør.
Kan vi vente til weekenden med at opdatere?
Vi anbefaler ikke at vente. Sårbarheden kræver kun en lavt privilegeret konto og ingen brugerinteraktion, så risikoen for misbrug er til stede, så snart en angriber har adgang til en almindelig konto.
Kræver det, at angriberen har administratorrettigheder?
Nej. Angriberen behøver kun en lavt privilegeret konto i systemet, hvilket gør sårbarheden mere udbredt end mange andre kritiske fejl, der kræver høje rettigheder.
Hvordan tjekker vi, om vi allerede er blevet ramt?
Gennemgå serverens netværkslogs for usædvanlige udgående forespørgsler fra Adobe Campaign til interne IP-adresser eller administrative grænseflader, som normalt ikke bør kontaktes af applikationen.
Skal vi anmelde hændelsen, hvis vi opdager misbrug?
Hvis I finder tegn på, at sårbarheden er blevet udnyttet, og at personoplysninger kan være kompromitteret, skal I vurdere anmeldelsespligt efter databeskyttelsesforordningen og eventuelt anmelde til Datatilsynet inden for 72 timer.
Påvirker sårbarheden også Windows- og Linux-servere direkte?
Nej. Windows og Linux er nævnt, fordi Adobe Campaign kan køre på begge platforme. Selve fejlen ligger i applikationen, ikke i styresystemet.
Ramte produkter
Adobe: Campaign
≤ 7.4.3
Adobe: Campaign
7.4.4
Linux: Linux Kernel
–
Microsoft: Windows
–
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Adobe Campaign Classic (ACC) is affected by a Server-Side Request Forgery (SSRF) vulnerability that could result in privilege escalation. A low-privileged attacker could exploit this vulnerability to gain elevated access to internal resources. Exploitation of this issue does not require user interaction. Scope is changed.
Referencer & kilder
Officielle advisories
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.