Adobe heeft 18 kritieke kwetsbaarheden verholpen in Campaign Classic, de marketingautomatiseringssoftware die veel organisaties gebruiken voor e-mail- en sms-campagnes. Acht van de lekken hebben de maximale CVSS-score van 10,0 en zijn zonder inloggegevens en zonder tussenkomst van een gebruiker op afstand te misbruiken, meldt het NCSC in advisory NCSC-2026-0393.
Het gaat om CVE-2026-82004, CVE-2026-73369, CVE-2026-84412, CVE-2026-89275, CVE-2026-75723, CVE-2026-75699, CVE-2026-75703 en CVE-2026-75721. De overige tien kwetsbaarheden zijn eveneens als kritiek bestempeld, al is daarvoor in sommige gevallen wel authenticatie vereist.
De kwetsbaarheden omvatten code- en OS-command-injectie, SQL-injectie, onvoldoende autorisatie, gebrekkige invoervalidatie en Server-Side Request Forgery. Misbruik kan leiden tot het uitvoeren van willekeurige code op de server, escalatie naar hogere rechten, het omzeilen van beveiligingsmaatregelen, het uitlezen van bestanden en het platleggen van de dienst via een Denial-of-Service.
Adobe heeft de problemen verholpen in build 9402 van versie 7.4.4, beschikbaar voor zowel Windows als Linux. Klanten die Campaign Classic door Adobe zelf laten hosten, hoeven niets te doen: die omgevingen zijn al bijgewerkt. Wie de software zelf beheert, moet handmatig updaten.
Gezien de combinatie van kritieke ernst en misbruik zonder authenticatie verdient deze update topprioriteit. Beheerders van on-premise Campaign Classic-omgevingen kunnen nu al controleren welke build draait en de patch inplannen, ook zonder dat er al actief misbruik is waargenomen. Voor MKB-bedrijven die Campaign Classic uitbesteden aan een marketingbureau is het verstandig om na te vragen of de leverancier al is bijgewerkt.
Bron: NCSC-NL Advisories
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.