Zammad 0-Day Vulnerabilities Exploited to Gain Remote Code Execution and Root Access
2026/10/02 CyberSecurityNews — Zammad に存在する 2 件の深刻なゼロデイ脆弱性 CVE-2026-102489／CVE-2026-102490 が、DIVD 自身への攻撃で悪用されたと Dutch Institute for Vulnerability Disclosure (DIVD) が公表している。これらの脆弱性により、セッション・ハイジャック／Zammad サービス・ユーザー権限でのリモート・コマンド実行／root への権限昇格などが引き起こされる可能性がある。これらの脆弱性は、DIVD で発生した別の侵害事案を調査した後に、調査案件 DIVD-2026-00015 として公表されている。
攻撃者は 2026年9月21日、脆弱性 CVE-2026-102489 を悪用して DIVD を侵害した。この脆弱性は Zammad 6.3.0〜6.5.4 に影響を及ぼし、Zammad ユーザーの権限によるリモートコード実行に至る可能性がある。この問題は Zammad 7.0.0〜7.1.3 にも存在するが、これらのリリースでは環境条件により悪用が不可能だと、DIVD の研究者は述べている。
2 件目の脆弱性 CVE-2026-102490 はローカル権限昇格の脆弱性であり、バージョン 1.5.0〜7.1.0-alpha を含む、すべての Zammad バージョンに影響する。すでにローカルの zammad ユーザーとしてアクセスしている攻撃者は、この脆弱性を悪用して root への権限昇格を達成し、影響を受けるサーバーを完全に制御する可能性がある。
Zammad のゼロデイ脆弱性の連鎖
この 2 件の脆弱性を組み合わせることで、大きな影響を及ぼす攻撃チェーンが成立する。リモートの攻撃者は、セッション・ハイジャックの脆弱性を悪用して Zammad サービス・アカウントの権限でコマンドを実行し、その後にローカル権限昇格の脆弱性を悪用して root 権限を取得する可能性がある。
root 権限を取得した攻撃者は、ヘルプデスク・データの改ざん／顧客サポート・チケットへのアクセス／添付ファイルの窃取／ユーザー・アカウントの変更／永続的なバックドアの設置／組織内ネットワークへの横展開を行う恐れがある。
DIVD によると、同組織の研究者は 9月22日〜9月23日に脆弱性を分析して再現し、9月24日に調査結果を Zammad へ報告した。9月26日に DIVD は、インターネットへ公開された脆弱な Zammad インスタンスのスキャンと影響を受ける所有者への通知を開始し、限定的な情報開示を行ったうえで、Zammad 側で修正が進んでいると説明した。
Zammad を運用するセキュリティ・チームに求められるのは、これらの脆弱性を緊急のインシデント・レスポンス案件として扱うことである。DIVD が推奨しているのは、Zammad 7 へのアップグレードと、修正が完了するまでの期間における影響を受けるインスタンスのオフライン化である。ただし、管理者が注意すべきは、ローカル権限昇格の脆弱性については、最新のアルファ・ビルドを含む Zammad 7 系にも影響する点である。
組織に求められるのは、Zammad のログを確認し、不審なセッション／予期しない管理操作／異常なコマンド実行／Zammad アカウントに関連する変更の有無を調査することである。DIVD は、管理者が侵害の可能性を確認するための、侵害指標 (IoC) のログ・チェック・スクリプトを提供している。
これらの脆弱性は、一般公開前に悪用されたと報告されているため、パッチの適用だけでは攻撃者が確立した永続性を排除できない可能性がある。不審な活動を検出した組織に求められるのは、サーバーの隔離／認証情報とシークレットの更新／アカウント変更の確認／スケジュール・タスクとサービスの調査／フォレンジック調査の実施である。
Open Source ヘルプデスク機能を提供する Zammad において、重大な問題が判明しました。今回の事案は、セッション乗っ取りやリモートでのコマンド実行を許す CVE-2026-102489 と、管理者権限奪取につながる CVE-2026-102490 という 2 件の未知の欠陥が組み合わされて悪用されたことが背景です。これらが連鎖することで、システムの完全な制御権喪失／サポート情報の閲覧／バックドア設置といった深刻な損害が発生します。安全確保に向けた作業として、ログ精査による不正アクセスの有無の確認／対象機器の一時的なネットワーク遮断／最新版への更新／各種証明書やパスワードの刷新／復旧作業後のシステム状態の検証が求められます。
You must be logged in to post a comment.