CVE-2026-102489

Undisclosed RCE in Zammad v6.3 and higher

攻撃で悪用高 8.7 攻撃の可能性：50%

概要

Zammad versions 6.3.0 to 6.5.4 are vulnerable a session hijack vulnerability that leads to remote code execution as the zammad user. The bug is also present in version 7.0.0 to version 7.1.2, but not exploitable due to changes in the underlying framework.

CISA: Zammad GmbH Zammad contains a session fixation vulnerability that can lead to remote code execution as the zammad user. This vulnerability can be chained with CVE-2026-102490.

対処法

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

米国連邦機関の対応期限：2026年10月5日

zammad.com/en/advisories/cve-2026-102489-cve-2026-102490

CISAのリストに追加: 2026年10月2日
公開日: 2026年9月30日
深刻度: 高 8.7 CVSS 4.0
今後30日間に攻撃される可能性（EPSS）: 50% 既知の全脆弱性の上位1.1%
脆弱性の種類: CWE-384
詳細: NVD · CVE.org · CISA

すべての参照（4件）

Zammad GmbHのその他の悪用された脆弱性

追加日	脆弱性	製品	深刻度	攻撃の可能性
2026/10/02	Improper Privilege ManagementCVE-2026-102490	Zammad	高 8.5	11%

すべて →

出典：Known Exploited Vulnerabilities（CISA、パブリックドメイン）、CVE records（cve.org）、EPSS（FIRST）。攻撃の可能性は、今後30日以内に誰かがその脆弱性の悪用を試みるというEPSSの推定値です。