En ny post i CISA:s katalog över kända, exploaterade sårbarheter gör två Zammad-brister till en omedelbar inventeringsfråga för organisationer som använder ärendehanteraren. Den nederländska säkerhetsorganisationen DIVD uppger att angreppskedjan användes vid intrånget i deras egen miljö den 21 september. Den första bristen kan ge kodkörning med tjänstkontot zammad i äldre installationer. Den andra beskrivs av DIVD som en lokal väg vidare till root. Zammad bekräftar att äldre versioner kan exploateras via den första bristen, men säger att företaget ännu inte fått tillräckliga tekniska detaljer för att bekräfta den andra. Den skillnaden måste styra både riskbedömning och kommunikation.

Vad som är verifierat

CISA lade till CVE-2026-102489 och CVE-2026-102490 i Known Exploited Vulnerabilities den 2 oktober. Katalogen är ett starkt tecken på faktiskt utnyttjande, men beskriver inte varje kundmiljös exponering. DIVD:s incidentrapport anger första obehöriga åtkomst den 21 september, upptäckt den 22 september och senare en angreppskedja som gav sessionskapning, kodkörning och privilegieeskalering. Det är en rapport från den drabbade organisationen, inte en oberoende bekräftelse av varje teknisk detalj i alla Zammad-versioner.

CVE-2026-102489 gäller enligt DIVD en sessionsrelaterad brist som kan ge fjärrkörning av kod som användaren zammad. DIVD anger Zammad 6.3.0 till 6.5.4 som praktiskt exploaterbara och skriver att kodvägen även finns i 7.0.0 till 7.1.3, men inte går att exploatera där på grund av miljöförutsättningar. Zammad säger i sitt uttalande att 6.5 och äldre kan exploateras och att 7.0 eller senare inte påverkas i praktiken. Skillnaden i versionsformulering gör att administratörer bör kontrollera exakt installation och distributionssätt i stället för att tolka en enda versionsgräns som universell.

DIVD:s CVE-post ger CVE-2026-102489 CVSS 4.0: 8,7, Hög, fristående. För kedjan tillsammans med CVE-2026-102490 anger DIVD 9,4, Kritisk. Det är forskarens officiellt publicerade CVE-bedömning, medan LabOps IT:s åtgärdsprioritet längre ned baseras på bekräftat utnyttjande och miljöns exponering.

Illustrationen skiljer mellan den praktiskt exploaterbara vägen i äldre Zammad och den ännu omstridda omfattningen av den lokala privilegieeskaleringen.

Rootpåståendet är fortfarande omstritt

DIVD beskriver CVE-2026-102490 som en lokal privilegieeskalering från tjänstkontot zammad till root. Dess CVE-post anger CVSS 4.0: 8,5, Hög, isolerat och versioner från 1.5.0 till 7.1.0-alpha. I det öppna ärendet använder DIVD även bredare formulering om nästan alla versioner, inklusive nyare alpha. Dessa uppgifter är alltså inte helt konsekventa, och de räcker inte för att slå fast att varje nuvarande version är sårbar.

Nederländernas NCSC skrev i en varning publicerad den 30 september att CVE-2026-102490 fortfarande saknar korrigering och enligt dess bedömning berör alla vanliga Zammad-versioner. Zammad skrev däremot den 1 oktober att leverantören ännu inte fått tekniska detaljer och därför varken kan bekräfta sårbarheten, omfattningen eller berörda versioner. Företaget hänvisar administratörer till sina säkerhetsmeddelanden för kommande besked. Vi har inte kunnat verifiera en särskild korrigerad version eller en fullständig mitigering för just denna brist. Uppgradering till 7.2.0 ska därför inte beskrivas som bevis för att rootfrågan är löst.

En offentligt tillgänglig och verifierad exploateringskod för de två CVE:erna har inte kunnat bekräftas i det kontrollerade primärkällmaterialet. DIVD:s publicerade loggkontroll är ett verktyg för att söka komprometteringsindikatorer, inte en PoC. Avsaknad av verifierad PoC minskar inte betydelsen av den bekräftade intrångsrapporten och KEV-registreringen.

Åtgärder för driften

Börja med att inventera självhostade Zammad-installationer, deras versioner, om de är åtkomliga från internet och vilka externa integrationer och uppgifter ärendesystemet kan nå. Prioritera särskilt 6.3–6.5 och andra äldre 6.x-installationer. Dokumentera också driftform, exempelvis paket eller container, eftersom uppgraderingsväg och omstart skiljer sig åt.

Zammad rekommenderar uppgradering till 7.2.0 och särskilt snabb uppgradering av 6.5 och äldre som inte längre får säkerhetsfixar. Planera en säkerhetskopiering, kontrollera kompatibilitet för tillägg och integrationer, testa uppgraderingsvägen och avsätt ett servicefönster. En större versionsuppgradering kan kräva omstart och ge ett tillfälligt avbrott i ärendehanteringen. Följ leverantörens versionsanvisningar för den egna installationen; gör inte ett otestat direktsteg mellan huvudversioner.

Begränsa administrativ och annan onödig nätverksåtkomst till Zammad. Säkerställ att tjänstkontot har snäva rättigheter, att miljön är segmenterad och att åtkomst till andra system och hemligheter är minimerad. Dessa kontroller kan minska följdskadan men är inte verifierade som fullständigt skydd mot någon av bristerna. Om ett system kan ha exponerats bör ansvariga bevara loggar och genomföra forensisk triage innan spår försvinner. DIVD hänvisar till kontroll av komprometteringsindikatorer, och CISA markerar uttryckligen forensisk triage i KEV-posterna. En ren loggsökning utesluter inte intrång.

För miljöer med internetexponerad äldre Zammad, hantera frågan som en incidentberedskapsfråga parallellt med uppgradering: granska sessioner, processer, oväntade ändringar och ovanliga utgående anslutningar enligt egna rutiner. Om indikatorer finns, isolera berörd instans på ett sätt som bevarar bevis och pröva om anslutna tjänster eller uppgifter kan ha påverkats. För 7.x-installationer bör versionskontroll och bevakning av Zammads kommande besked ändå göras, särskilt med tanke på den olösta motsättningen om den lokala bristen.

LabOps IT:s bedömning

Akut för exponerade installationer av Zammad 6.3–6.5 och miljöer där ett Zammad-intrång kan nå känsliga uppgifter eller andra system. Prioriteten motiveras av DIVD:s rapporterade intrång och båda posternas tillägg till KEV den 2 oktober, inte av CVSS-talet ensamt. Äldre installationer bör snabbt bedömas, avskärmas vid behov och uppgraderas enligt leverantörens anvisningar. Hög för övriga självhostade installationer tills version, exponering och leverantörens besked om CVE-2026-102490 är utredda. Risken för en specifik 7.x-installation kan inte kvantifieras säkert utifrån dagens motstridiga uppgifter. Molntjänsters patchstatus bör verifieras med tjänsteleverantören.

Det viktiga operativa beslutet är att kombinera versionsbyte med spårbevarande och minskad åtkomst. En uppgradering kan stänga den kända praktiskt exploaterbara vägen i äldre versioner, men kan inte retroaktivt undanröja ett redan inträffat intrång och är ännu inte dokumenterad som fullständig lösning för det omstridda rootpåståendet.

Källor