CISA KEV 警告 26/10/02：Zammad の脆弱性 CVE-2026-102489／102490 を登録

CISA Adds Zammad Vulnerabilities to KEV Following Active Exploitation

2026/10/05 gbhackers — 米国 Cybersecurity and Infrastructure Security Agency (CISA) が公表したのは、Zammad ヘルプデスク・プラットフォームに影響する 2 件の脆弱性の Known Exploited Vulnerabilities (KEV) カタログへの追加であり、実環境での悪用が報告されたと警告している。これらの脆弱性 CVE-2026-102489／CVE-2026-102490 の連鎖により、リモート・コード実行が引き起こされ、最終的には影響を受ける Zammad システムで root 権限を奪取される可能性がある。

脆弱性 CVE-2026-102489 は、セッション固定の欠陥 (CWE-384) であり、ローカルの Zammad アカウントの権限を用いたリモート・コード実行を可能にする。この脆弱性と、不適切な権限管理の脆弱性 CVE-2026-102490 (CWE-269) を組み合わせることで、Zammad ユーザーから root へ権限昇格が可能になる。この 2つの脆弱性は、2026年10月2日に KEV カタログへ追加され、修正期限は 2026年10月5日に設定されている。

Zammad の脆弱性

Dutch Institute for Vulnerability Disclosure (DIVD) が公開した CVE レコードによると、1つ目の脆弱性 CVE-2026-102489 は、Zammad のバージョン 6.3.0〜6.5.4 に影響する。

このアドバイザリでは、Zammad のサービス・アカウントを悪用する、リモート・コード実行につながるセッション・ハイジャックが説明されている。また、バージョン 7.0.0〜7.1.3 にも同じ問題が存在するが悪用されないと、文書化された環境条件に記されている。

2つ目の脆弱性 CVE-2026-102490 は、Zammad のバージョン 1.5〜7.1.0-alpha という、より広範なリリースに影響を及ぼす。この脆弱性を悪用するローカルの Zammad ユーザーは、root への権限を昇格を可能にするため、1つ目の脆弱性で取得したアクセス権が、基盤となるホストの完全な制御に発展する恐れがある。

Zammad コミュニティ・メンバーによる公開報告と第三者の研究者による報告には、インターネットへ公開された Zammad インスタンスに対して、直ちにパッチを適用する必要があると記されている。DIVD が関係する侵害で、これら 2 件の脆弱性が連鎖的に悪用され、Zammad のゼロデイ脆弱性が侵入経路として悪用されたことが、複数の情報により示唆されている。

CISA は、Binding Operational Directive 26-04 に基づき、両方の脆弱性をフォレンジック・トリアージが必要な脆弱性に分類した。同機関の KEV エントリには、ランサムウェアへの使用について明記されていないが、KEV カタログへの追加により、これらの脆弱性が実環境の攻撃で悪用されていることが確認された。

FCEB 機関は、BOD 26-04 のリスクベースのパッチ適用要件に従い、10月5日までにベンダーが推奨する緩和策を適用する必要がある。クラウドでホストされた環境を使用する組織は、該当するクラウド・サービスのガイダンスに従う必要がある。また、緩和策の適用が不可能な場合には、CISA の勧告に従って、影響を受ける製品の使用を中止する必要がある。

民間企業において、セキュリティチームに求められるのは、インターネットへ公開された、すべての Zammad 環境を特定した上で、インストール済みバージョンを確認し、ログを調査することである。この調査では、不審なセッション活動／Zammad アカウントによって実行された予期しないコマンド／新たに作成された特権アカウント／認証またはサービス設定の変更などを確認する必要がある。

CVE レコードでは、CVE-2026-102489 を発見／分析した研究者として Merlon Security／DIVD がクレジットされている。

米 CISA により Zammad ヘルプデスク・プラットフォームの脆弱性が KEV カタログへ追加されました。問い合わせ管理を担うシステムが外部へ露出しているため、攻撃経路として狙われやすい状況が生じます。セッション固定および不適切な権限管理の欠陥が悪用されると、外部からの侵入／制御権限の奪取／不正な操作の実行といった被害に至ります。なお、対象となる CVE は CVE-2026-102489／CVE-2026-102490 です。対応策として最新版へのアップグレード／稼働環境の特定／不審なセッション履歴の点検が求められます。