Adobe dicht 18 kritieke lekken in Campaign Classic: update nu

Adobe heeft een reeks ernstige kwetsbaarheden gerepareerd in Adobe Campaign Classic (ACC). In totaal gaat het om 18 issues die allemaal als kritiek zijn aangemerkt. Een deel daarvan maakt remote aanval zonder inlog of gebruikersactie mogelijk. Succesvolle aanvallen kunnen leiden tot het uitvoeren van willekeurige code, het omzeilen van beveiligingsmaatregelen, het ongeautoriseerd uitlezen van bestanden of het platleggen van de applicatie. Adobe meldt geen actieve misbruikpogingen op het moment van publiceren. (helpx.adobe.com)

Wat is geraakt en hoe ernstig is het?

• Product/versies: ACC v7 tot en met 7.4.4 build 9401 (Windows en Linux). Advies: update naar build 9402. Voor volledig gehoste Adobe‑omgevingen is de fix al doorgevoerd; klanten met on‑premises of hybride installaties moeten zelf bijwerken. (helpx.adobe.com)
• Ernst en impact: alle 18 kwetsbaarheden zijn kritiek. Tien daarvan zijn op afstand te misbruiken zonder authenticatie; bij meerdere kan een aanvaller direct code uitvoeren. De risicotakken variëren van code‑ en OS‑command‑injectie en SQL‑injectie tot Server‑Side Request Forgery (SSRF) en onvoldoende autorisatie. (helpx.adobe.com)

Acht kwetsbaarheden hebben de maximale CVSS‑score (10,0). Ze zijn op afstand, zonder rechten en zonder gebruikersinteractie te misbruiken:

• CVE‑2026‑82004 (OS‑command‑injectie) – willekeurige code‑uitvoering
• CVE‑2026‑73369 (code‑injectie) – willekeurige code‑uitvoering
• CVE‑2026‑84412 (code‑injectie) – willekeurige code‑uitvoering
• CVE‑2026‑89275 (code‑injectie) – willekeurige code‑uitvoering
• CVE‑2026‑75723 (onvoldoende autorisatie) – willekeurige code‑uitvoering
• CVE‑2026‑75699 (code‑injectie) – willekeurige code‑uitvoering
• CVE‑2026‑75703 (code‑injectie) – denial‑of‑service
• CVE‑2026‑75721 (code‑injectie) – willekeurige code‑uitvoering
  Daarnaast zijn er nog twee lekken zonder authenticatie (o.a. SSRF) met CVSS‑scores van 9,9 en 9,1. Samen verklaart dat waarom het patchadvies zo dringend is. (helpx.adobe.com)

Timing en context

• Publicatie: 8 september 2026; bulletin bijgewerkt op 22 september 2026 met extra CVE‑nummers en details. (helpx.adobe.com)
• Eerder dit jaar waarschuwde het Nederlandse NCSC al voor kritieke ACC‑lekken (waaronder CVE‑2026‑48449, CVSS 10,0) met vergelijkbaar risico op misbruik zonder gebruikersinteractie. Het algemene advies: patchen met hoge urgentie. (ncsc.nl)

Wat moet je doen?

• Update direct naar ACC v7 7.4.4 build 9402. In on‑prem en hybride omgevingen is een herstart van de nlserver nodig om de fix te activeren. Plan dit als spoedchange. (helpx.adobe.com)
• Beperk aanvalsoppervlak: zorg dat beheerinterfaces en web‑endpoints alleen vanaf noodzakelijke (interne) netwerken bereikbaar zijn. Overweeg IP‑allowlists/VPN en segmentatie.
• Harden tegen SSRF en injectie: werk inputvalidatie‑regels bij, zet striktere egress‑policies op proxy/firewall en controleer de externe URL‑allowlist die Adobe recent heeft aangescherpt voor afleveringen en bijlagen. Controleer of alle gebruikte domeinen zijn toegestaan om verstoringen te voorkomen. (experienceleague.adobe.com)
• Controle en detectie: doorzoek server‑ en applicatielogs op verdachte systeemopdrachten, ongebruikelijke uitgaande requests (SSRF‑indicaties) en fouten in webForm‑verwerking. Draai gevoelige sleutels en service‑accounts die ACC gebruikt.
• Inventariseer je installaties: weet je niet zeker welke ACC‑versie waar draait? Laat je IT‑team dit vaststellen en het patchpad uitstippelen. Volg waar relevant de richtlijnen van het NCSC. (ncsc.nl)

Kort gezegd: dit is een patch‑nu‑situatie. Zeker organisaties met on‑premises of hybride Campaign‑installaties doen er goed aan vandaag nog te updaten en basismaatregelen te nemen om misbruik te voorkomen. (helpx.adobe.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.