Zammad 脆弱性 CVE-2026-102489 に PoC が公開：セッション・ハイジャックと RCE の恐れ

PoC Exploit Released for Zammad Vulnerability Enabling Session Hijacking and Remote Code Execution

2026/10/08 gbhackers — Zammad に存在する重大な脆弱性 CVE-2026-102489 に対して、概念実証 (PoC) エクスプロイトが公開された。この脆弱性の悪用により、接続中のユーザーのセッション Cookie が漏えいし、Zammad の OS ユーザー権限でのリモート・コード実行 (RCE) に至る可能性がある。この脆弱性は、9月に発生したオランダの脆弱性開示機関 Dutch Institute for Vulnerability Disclosure (DIVD) への侵害で、別のローカル権限昇格の脆弱性 CVE-2026-102490 とともに悪用されたと報告されている。

Zammad の脆弱性

10月7日に Horizon3.ai の Attack Team が公開したのは、技術的な詳細／エクスプロイトコードである。これにより明らかにされたのは、未認証の攻撃者が Zammad の WebSocket エンドポイント (/ws) に細工したメッセージを送信できることだ。

この不正なイベントはアプリケーション・エラーを引き起こすが、その応答に HTTP Cookie ヘッダー／有効な _zammad_session の値といった、接続クライアントの内部状態が含まれるという問題が生じる。

この脆弱性の原因は、Zammad における Ruby の WebSocket イベント処理にある。アプリケーションは、リクエストヘッダーを含む接続中のクライアント情報を、グローバルな @clients オブジェクトに保持している。

指定されたイベント名が Sessions::Event::Base として解決されると、Zammad はクライアントの登録情報を使用して、このクラスのインスタンスを生成しようとする。しかし、基底ハンドラには想定される run() メソッドが実装されていないため、Ruby の NoMethodError が発生する。

脆弱性のあるコードは、機密情報を除去したエラー応答を返す代わりに、オブジェクトの内部表現を含むエラー文字列を返す。その結果、インスタンス変数や @clients に保持されたクライアント情報が露出し、その時点で接続しているユーザーのセッション・データが、攻撃者に取得されてしまう。

公開された PoC が動作する条件は、悪用時に少なくとも 1 人の認証済みユーザーが WebSocket サービスに接続していることである。さらに攻撃を進めるには、利用可能な特権セッション Cookie を特定する必要があるが、特に有用となるのは、管理者アカウントに関連付けられた Cookie である。

Horizon3.ai によると、管理者セッションが乗っ取られた場合には、Zammad のパッケージ・インストール機能が悪用され、攻撃者が制御するファイルがアプリケーションディレクトリへ書き込まれる。この PoC は、組み込みのパスワードリセット・メールのビュー・テンプレートを、悪意の ERB テンプレートに置き換えるパッケージをインストールするとされる。

攻撃者がパスワードリセットを開始すると、Zammad のメール送信コンポーネントが改変されたテンプレートをレンダリングする。ERB テンプレートはサーバ側でのレンダリング時に Ruby コードを実行できるため、セッションの乗っ取りから、Zammad の OS アカウント権限での任意のコマンド実行へと、攻撃を発展させられる。また、このエクスプロイトは、実行後にインストールしたパッケージを削除するため、目立つ痕跡が少なくなる可能性がある。

DIVD によると、攻撃者が同組織のシステムに最初にアクセスしたのは 9月21日であり、翌日に悪意の活動を検知したという。DIVD は、初期アクセスに悪用されたのは、当時未知だった 2 件の Zammad の脆弱性だったとしている。CVE-2026-102489 はセッションハイジャック／RCE を可能にし、CVE-2026-102490 は Zammad ユーザーから root への権限昇格を可能にする。

フォレンジック調査で得られた痕跡と、攻撃者のスクリプトを根拠に、この侵入を「エージェント型 AI を利用した攻撃」とみられる事案だと、DIVD は説明している。ただし、現在も調査は継続中であり、特定の脅威アクターとの関連は、まだ確認されていない。

 Exploit in action (Source: horizon3)
 Exploit in action (Source: horizon3)

ネットワークのセグメンテーション／インシデント対応により、攻撃者による横展開の試行は制限された。ただし、同組織が懸念するのは、メールアドレスや連絡先情報を含む可能性がある、ボランティア関連データが漏えいした恐れである。

DIVD は、Zammad のバージョン 6.3.0～6.5.4 が、セッションハイジャックから RCE に至る攻撃チェーンの影響を受けるとしている。バージョン 7.0.0～7.1.3 にも脆弱性は存在すると報告されているが、DIVD が特定した環境条件下では悪用できないという。その一方で、CVE-2026-102490 は、Zammad 1.5.0～7.1.0-alpha に影響し、ローカル権限昇格を可能にする。

実際に動作するエクスプロイト・コードが公開されたことで、防御担当者には緊急性の高い対応が求められる。この未認証で悪用できる情報漏えいの脆弱性が、有効な特権セッションと組み合わされることで、RCE に直結する攻撃経路になる可能性がある。

Zammad 製ヘルプデスク管理システムにおける深刻なセキュリティ欠陥 CVE-2026-102489 について解説する記事です。例外処理時の情報制御の不備に伴い、接続情報の漏えい／セッションの強奪／任意コードの実行／上位権限の不正取得といった不具合が生じる危険性があります。対象となる CVE は CVE-2026-102489／CVE-2026-102490 です。対象となる製品は Zammad です。対応策として修正版への迅速なアップデート／アクセス権限の見直しが求められます。