CVE-2026-83660: Kritisk SSRF-fejl i Adobe Campaign Classic
Kritisk SSRF-sårbarhed i Adobe Campaign Classic (CVE-2026-83660) kan give angribere administratorrettigheder uden login. Opdatér straks.
Hvad er det?
CVE-2026-83660 er en sårbarhed i Adobe Campaign Classic, et system til at styre e-mail- og SMS-kampagner. Fejlen er en såkaldt SSRF-sårbarhed (Server-Side Request Forgery), hvor en angriber kan narre serveren til selv at sende forespørgsler videre til interne systemer eller tjenester, som serveren har adgang til, men som angriberen normalt ikke kan nå direkte. Fordi serveren har flere rettigheder end en udefrakommende bruger, kan fejlen bruges til rettighedseskalering, hvor angriberen opnår adgang på et højere niveau end tilsigtet. Sårbarheden kræver hverken login eller nogen handling fra en bruger, og angrebet sker over netværket.
Hvem rammer det?
Sårbarheden rammer virksomheder og organisationer, der kører Adobe Campaign Classic, typisk marketingafdelinger og virksomheder med egen eller hostet installation af platformen. NVD angiver ikke specifikke versionsnumre i denne sag. Vi anbefaler, at I tjekker jeres nuværende version op mod Adobes officielle sikkerhedsbulletin for CVE-2026-83660 for at se, om jeres installation er ramt.
Hvad kan ske?
En angriber kan udnytte sårbarheden til at få serveren til at kontakte interne systemer, som normalt er utilgængelige udefra, for eksempel interne administrationspaneler, databaser eller metadata-tjenester i skymiljøer. Det kan føre til, at angriberen opnår administratorrettigheder på Campaign Classic-serveren, læser fortrolige data og i værste fald bruger serveren som springbræt videre ind i jeres interne netværk.
Hvor alvorligt er det?
CVSS-score er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver ikke login (PR:N), kræver ingen handling fra en bruger, og kan udføres over netværket med lav kompleksitet. Fortrolighed vurderes til høj påvirkning, mens integritet og tilgængelighed vurderes til lav påvirkning. Scope er markeret som ændret, hvilket betyder, at et vellykket angreb kan påvirke andre systemer end selve den sårbare komponent. Der er ved offentliggørelsen ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb.
Hvad gør jeg nu?
Følg disse trin for at lukke hullet og begrænse risikoen, mens I venter på en opdatering:
- Opdatér Adobe Campaign Classic til den version, Adobe angiver som rettet i deres sikkerhedsbulletin for CVE-2026-83660.
- Kan opdateringen ikke gennemføres straks, så begræns serverens udgående netværksadgang, så den kun kan nå de tjenester, den reelt har brug for.
- Bloker adgang fra Campaign Classic-serveren til interne administrationsgrænseflader og metadata-tjenester, hvis det er teknisk muligt.
- Gennemgå logs for usædvanlige udgående forespørgsler fra serveren, som kan tyde på forsøg på udnyttelse.
- Sørg for netværkssegmentering, så en kompromitteret Campaign Classic-server ikke automatisk giver adgang til resten af jeres interne systemer.
- Er I i tvivl om, hvordan opdateringen eller isoleringen gennemføres sikkert, bør I hente hjælp fra en it-sikkerhedsleverandør.
Opdatér inden for 24-48 timer
Vi anbefaler, at I opdaterer Adobe Campaign Classic til den rettede version så hurtigt som muligt, da sårbarheden kan udnyttes uden login og uden brugerhandling. Det er ikke forsvarligt at vente til en almindelig vedligeholdelsesrunde eller til weekenden, medmindre serveren allerede er isoleret fra internettet og interne systemer med streng netværksfiltrering. Er opdateringen ikke tilgængelig endnu i jeres miljø, bør I straks indføre de nævnte netværksbegrænsninger som midlertidig beskyttelse.
Tidslinje
Konkrete eksempler
Marketingafdeling rammes via kampagnesystem
En dansk virksomhed bruger Adobe Campaign Classic til at udsende nyhedsbreve og SMS-kampagner til kunder. En angriber udnytter SSRF-sårbarheden til at få kampagneserveren til at kontakte et internt administrationssystem, som serveren har adgang til. Herfra opnår angriberen forhøjede rettigheder og henter kundedata fra en tilknyttet database. Virksomheden opdager først hændelsen, da unormal trafik observeres i netværkslogs flere dage senere.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-83660?
I er potentielt ramt, hvis I bruger Adobe Campaign Classic. Tjek jeres nuværende version op mod Adobes sikkerhedsbulletin for CVE-2026-83660 for at se, om jeres version er nævnt som sårbar.
Hvordan tjekker vi, om vores installation er sårbar?
Find versionsnummeret på jeres Adobe Campaign Classic-installation, og sammenhold det med de versioner, Adobe har angivet i deres officielle sikkerhedsbulletin for denne sårbarhed.
Kan vi vente til weekenden med at opdatere?
Det frarådes. Sårbarheden har en kritisk CVSS-score på 9,9, kræver ikke login og kan angribes over netværket. Vent kun, hvis serveren allerede er isoleret med streng netværksfiltrering.
Skal vi anmelde hændelsen, hvis vi bliver ramt?
Hvis udnyttelse af sårbarheden fører til et brud på persondata, har I som dataansvarlig pligt til at anmelde det til Datatilsynet inden for 72 timer efter, I bliver opmærksomme på bruddet.
Hvad betyder det, at sårbarheden er en SSRF-fejl?
SSRF betyder, at en angriber kan få serveren til selv at sende forespørgsler videre til interne systemer, som serveren har adgang til, men som angriberen ikke kan nå direkte udefra.
Er sårbarheden udnyttet i angreb, vi kender til?
Der er ved offentliggørelsen ikke oplysninger om aktiv udnyttelse eller offentligt tilgængelig kode til at udnytte sårbarheden.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:L
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Adobe Campaign Classic (ACC) is affected by a Server-Side Request Forgery (SSRF) vulnerability that could result in privilege escalation. Exploitation of this issue does not require user interaction. Scope is changed.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.