CVE-2026-89276: Kritisk kode-fejl i Adobe Campaign Classic
Adobe Campaign Classic har en kritisk kode-indsprøjtningsfejl (CVE-2026-89276). Opdatér systemet, før en lav-privilegeret bruger udnytter den.
Hvad er det?
Adobe Campaign Classic (ACC) er et system til at styre markedsføringskampagner, nyhedsbreve og kundedata. CVE-2026-89276 er en sårbarhed af typen kode-indsprøjtning, hvor systemet ikke kontrollerer korrekt, hvilken kode det genererer og kører. En bruger med kun lave rettigheder, fx en almindelig kampagnemedarbejder, kan udnytte fejlen til at få systemet til at udføre vilkårlig kode. Fejlen kræver ikke, at nogen klikker på et link eller godkender en handling, og den kan udnyttes over netværket.
Hvem rammer det?
Alle virksomheder og kommuner, der bruger Adobe Campaign Classic til at styre markedsføring, nyhedsbreve eller kundedialog, er potentielt berørte. Det gælder installationer, der endnu ikke har fået den rettende opdatering fra Adobe, uanset om systemet kører lokalt (on-premise) eller i et hostet miljø, som virksomheden selv administrerer.
Hvad kan ske?
En angriber, der allerede har et lavt-privilegeret login til ACC, fx en almindelig medarbejderkonto, kan udnytte fejlen til at køre sin egen kode på serveren. Fordi angrebets omfang (scope) ændres under udnyttelsen, kan angriberen bryde ud af sine normale adgangsbegrænsninger og få adgang til data og funktioner, kontoen ellers ikke har adgang til. I praksis kan det betyde adgang til kundedata og e-mail-lister, mulighed for at sende beskeder i virksomhedens navn, eller brug af serveren som springbræt videre ind i netværket.
Hvor alvorligt er det?
Sårbarheden har en CVSS-score på 9,9 ud af 10, hvilket er kritisk. Den kan udnyttes over netværket uden brugerinteraktion, kræver kun lave rettigheder, og angrebskompleksiteten er lav. Fortrolighed og integritet er ramt i høj grad, mens tilgængelighed er ramt i mindre grad. Der er pr. offentliggørelsesdatoen ikke rapporteret om aktiv udnyttelse, men den lave kompleksitet og det manglende krav om brugerhandling gør sårbarheden attraktiv at angribe.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser skaden, hvis I allerede er blevet udnyttet.
- Opdatér Adobe Campaign Classic til den version, Adobe har udgivet rettelse til i sikkerhedsbulletinen for CVE-2026-89276.
- Gennemgå adgangsrettigheder for alle konti i ACC, og fjern eller begræns unødvendige lave-privilegerede konti.
- Undersøg logfiler for uventet kodekørsel eller usædvanlig aktivitet fra kampagnemedarbejder-konti siden offentliggørelsen.
- Isoler ACC-serveren netværksmæssigt, hvis opdateringen ikke kan gennemføres med det samme.
- Kontakt en sikkerhedsrådgiver, hvis I ikke har ressourcer til selv at vurdere risikoen eller gennemføre opdateringen sikkert.
Opdatér inden for få dage
Vi anbefaler, at I opdaterer Adobe Campaign Classic så hurtigt som muligt, da sårbarheden kræver hverken brugerinteraktion eller høje rettigheder for at blive udnyttet. Det er kun i orden at vente, hvis systemet er fuldstændig isoleret fra netværk og ikke tilgængeligt for eksterne brugere. Er I i tvivl om, hvilken version I kører, eller om opdateringen er kompatibel med jeres opsætning, bør I få hjælp til at gennemføre den sikkert.
Tidslinje
Konkrete eksempler
Kampagnemedarbejder med kompromitteret login
En dansk virksomheds marketingafdeling bruger Adobe Campaign Classic til at sende nyhedsbreve. En medarbejders login bliver stjålet gennem en phishing-mail. Angriberen bruger den lave-privilegerede konto til at udnytte CVE-2026-89276 og køre egen kode på serveren, hvorved vedkommende får adgang til hele kundedatabasen og mulighed for at sende falske beskeder i virksomhedens navn.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-89276?
Hvis I bruger Adobe Campaign Classic og ikke har installeret den opdatering, Adobe udgav i forbindelse med offentliggørelsen den 22. september 2026, er I potentielt sårbare.
Hvordan tjekker vi, om vores system er sårbart?
Tjek jeres nuværende ACC-version mod Adobes sikkerhedsbulletin for CVE-2026-89276, og se, om den ligger før den rettede version.
Kan vi vente til weekenden med at opdatere?
Det anbefales ikke. Sårbarheden kræver lav angrebskompleksitet og ingen brugerhandling, hvilket gør den nem at udnytte, hvis systemet er tilgængeligt over netværket.
Kræver angrebet, at angriberen allerede har en konto?
Ja, angriberen skal have et lavt-privilegeret login, men ikke administratorrettigheder. Det gør interne konti eller stjålne medarbejderlogin til den mest sandsynlige indgang.
Skal vi anmelde det til Datatilsynet?
Kun hvis I finder konkrete tegn på, at persondata er blevet tilgået eller kompromitteret som følge af udnyttelse. Selve sårbarheden udløser ikke i sig selv en anmeldelsespligt.
Hvad gør vi, hvis vi ikke kan opdatere med det samme?
Begræns netværksadgangen til ACC-serveren, overvåg logfiler for usædvanlig aktivitet, og reducer antallet af lave-privilegerede konti, indtil opdateringen kan gennemføres.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Adobe Campaign Classic (ACC) is affected by an Improper Control of Generation of Code (‘Code Injection’) vulnerability that could result in arbitrary code execution in the context of the current user. A low-privileged attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.