CVE-2026-89275: Kritisk fejl i Adobe Campaign Classic
Kritisk sårbarhed i Adobe Campaign Classic (CVE-2026-89275) lader angribere køre vilkårlig kode uden login. Installer Adobes sikkerhedsopdatering.
Hvad er det?
CVE-2026-89275 er en fejl af typen kodeinjektion i Adobe Campaign Classic, et system til at styre e-mail- og marketingkampagner. Kodeinjektion betyder, at systemet fejlagtigt kan overtales til at udføre kode, som en angriber selv har indsat, i stedet for kun at behandle almindelig data. Fejlen kan udnyttes over netværket uden brugernavn, adgangskode eller nogen handling fra en bruger. CVSS-scoren er 10 ud af 10, den højeste mulige, fordi angrebet er simpelt at gennemføre og giver fuld kontrol med systemet.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der kører Adobe Campaign Classic til at sende og styre marketingkampagner, nyhedsbreve eller kundekommunikation. Det gælder både organisationer, der drifter systemet selv, og dem, der bruger det via en ekstern leverandør. I bør tjekke jeres installerede version op mod Adobes officielle sikkerhedsbulletin for denne sårbarhed for at se, om jeres opsætning er berørt.
Hvad kan ske?
En angriber, der udnytter fejlen, kan køre sin egen kode på serveren, der driver Adobe Campaign Classic. I praksis betyder det adgang til hele kundedatabasen, mulighed for at sende falske kampagner i jeres navn, og en indgang til resten af jeres netværk, hvis serveren ikke er isoleret. For en dansk virksomhed kan det føre til tab af kundedata, misbrug af jeres afsenderdomæne til svindel, og i værste fald spredning af skadelig software til andre systemer.
Hvor alvorligt er det?
CVSS-scoren er 10 ud af 10, kritisk. Angrebet kræver ikke login og ingen handling fra en bruger, det kan udføres over netværket med lav kompleksitet. Fordi angrebets omfang er markeret som ‘scope changed’, betyder det, at koden kan påvirke mere end selve Adobe Campaign Classic-komponenten, potentielt hele den underliggende server. Der er ikke oplyst aktiv udnyttelse i naturen på offentliggørelsesdatoen, men kombinationen af høj alvor og lav angrebskompleksitet gør sårbarheden til en oplagt målskive for automatiserede angreb.
Hvad gør jeg nu?
Følgende trin bør gennemføres i den nævnte rækkefølge.
- Installer Adobes sikkerhedsopdatering for Adobe Campaign Classic. Find den korrekte version i Adobes officielle sikkerhedsbulletin for CVE-2026-89275.
- Kan opdateringen ikke installeres med det samme, så isoler serveren fra internettet eller begræns adgangen til betroede IP-adresser, indtil opdateringen er på plads.
- Gennemgå logfiler for usædvanlig aktivitet, herunder uventede processer eller ukendte administratorkonti oprettet efter offentliggørelsesdatoen.
- Skift adgangskoder og API-nøgler for alle konti med adgang til systemet, hvis der er mistanke om misbrug.
- Informer jeres databeskyttelsesrådgiver, hvis kundedata kan være eksponeret, så I kan vurdere anmeldelsespligt.
- Søg hjælp hos en sikkerhedsrådgiver eller Adobes support, hvis I ikke selv kan verificere, om systemet er opdateret korrekt, eller hvis I finder tegn på kompromittering.
Opdatér inden for 24 timer
Vi anbefaler, at I installerer Adobes sikkerhedsopdatering for Adobe Campaign Classic hurtigst muligt, da sårbarheden kan udnyttes uden login og uden brugerhandling. Det er kun forsvarligt at vente, hvis serveren er fuldstændigt isoleret fra internettet og ikke tilgængelig for eksterne brugere. Er I i tvivl om, hvilken version I kører, eller om opdateringen er slået korrekt igennem, bør I få en sikkerhedsrådgiver til at bekræfte det.
Tidslinje
Konkrete eksempler
Marketingafdeling hos en dansk detailkæde
En dansk detailkæde bruger Adobe Campaign Classic til at sende nyhedsbreve og tilbud til sine kunder. En angriber udnytter sårbarheden til at køre kode på serveren og får adgang til hele kundedatabasen med navne, e-mailadresser og købshistorik. Angriberen bruger samtidig adgangen til at sende falske tilbudsmails i virksomhedens navn, hvilket skader både kundetillid og afsenderomdømme.
Ofte stillede spørgsmål
Hvordan ved vi, om vores system er ramt?
Tjek den installerede version af Adobe Campaign Classic op mod Adobes officielle sikkerhedsbulletin for CVE-2026-89275. Er versionen ældre end den, der er angivet som rettet, er I sårbare.
Kan vi vente til efter weekenden med at opdatere?
Det frarådes. Sårbarheden kræver hverken login eller brugerhandling og kan udnyttes automatiseret. Kan opdateringen ikke installeres med det samme, bør systemet i stedet isoleres fra internettet i mellemtiden.
Er der tegn på, at sårbarheden allerede bliver udnyttet?
Der er ikke oplysninger om aktiv udnyttelse på offentliggørelsesdatoen. Det ændrer ikke ved, at fejlen bør lukkes hurtigt, fordi kritiske sårbarheder af denne type ofte bliver forsøgt udnyttet kort efter offentliggørelse.
Skal vi anmelde hændelsen, hvis vi finder tegn på kompromittering?
Har angribere haft adgang til personoplysninger, kan der være anmeldelsespligt efter databeskyttelsesreglerne. Kontakt jeres databeskyttelsesrådgiver for at få vurderet den konkrete sag.
Påvirker det også vores andre Adobe-produkter?
Nej, CVE-2026-89275 er specifik for Adobe Campaign Classic. Andre Adobe-produkter er ikke berørt af denne konkrete sårbarhed, men bør altid holdes opdateret separat.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Adobe Campaign Classic (ACC) is affected by an Improper Control of Generation of Code (‘Code Injection’) vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.