Zum Inhalt springen
StartAdvisoriesRansomwareCW-PodcastPodcastsBücherCreatorsSpeakerFirmenKarriereEventsCB-NetzwerkMatrix-ServerFAQBesucherstatistikFormulareSuche
CVE-2026-102489HighCVSS: 8.7

RCE-Lücke in Zammad 6.3.0 bis 6.5.4 (CVE-2026-102489)

In Zammad 6.3.0 bis 6.5.4 ermöglicht eine Session-Hijack-Schwachstelle Remote Code Execution als Zammad-Benutzer. Die Lücke wird mit CVSS 8.7 (High) bewertet und wird bereits aktiv ausgenutzt. Betreiber sollten umgehend auf Zammad Version 7 aktualisieren.

METADATEN

Entdeckt:
30.09.2026
Patch verfügbar:
Ja

BETROFFENE SYSTEME

  • •Zammad 6.3.0 bis 6.5.4
  • •Zammad 7.0.0 bis 7.1.3

Zusammenfassung

Die Schwachstelle CVE-2026-102489 betrifft Zammad Versionen 6.3.0 bis 6.5.4 und ermöglicht über Session Hijacking eine Remote Code Execution (RCE) als Zammad-Benutzer. Die Lücke wurde vom DIVD CSIRT im Rahmen der Untersuchung des Falls DIVD-2026-00015 entdeckt und wird mit einem CVSS 4.0 Base Score von 8.7 (High) bewertet. Die Schwachstelle wurde bereits aktiv zur Kompromittierung ausgenutzt, unter anderem beim Einbruch beim DIVD selbst am 21.09.2026.

Technische Details

  • CVE-ID: CVE-2026-102489
  • CVSS 4.0: 8.7 / High (AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:A/AU:Y/V:C)
  • Angriffsvektor: Netzwerk (NETWORK), geringe Komplexität, keine Privilegien erforderlich, Benutzerinteraktion erforderlich (UI:P), automatisierbar
  • Auswirkung: Vollständiger Verlust von Vertraulichkeit, Integrität und Verfügbarkeit des verwundbaren Systems (VC:H/VI:H/VA:H)
  • Schwachstellentyp: Session Hijack mit anschließender Remote Code Execution als Zammad-User
  • Verkettung: In Kombination mit CVE-2026-102490 (Local Privilege Escalation auf Root) steigt der CVSS auf 9.4 (Critical)
  • Entdecker: Earth Grob, Luke Paris, Tijmen van der Spijk, Zohar Cochavi, Alje Woltjer (Merlon Security) sowie Mischa Rick van Geelen, Ralph Horn, Max van der Horst, Victor Pasman, Frank Breedijk (DIVD)
  • Status: Wird aktiv ausgenutzt (Exploit maturity E:A)

Betroffene Systeme

  • Zammad 6.3.0 bis 6.5.4 auf Linux und Docker (ausnutzbar, RCE)
  • Zammad 7.0.0 bis 7.1.3 (Schwachstelle vorhanden, derzeit aufgrund von Umgebungsbedingungen nicht ausnutzbar)
  • Hersteller: Zammad GmbH

Empfehlungen und Maßnahmen

  1. Umgehend auf Zammad Version 7 aktualisieren. Laut DIVD CSIRT ist der Patch-Status Available, ein Upgrade auf Version 7 behebt die Ausnutzbarkeit.
  2. Alternativ System offline nehmen, falls ein sofortiges Update nicht möglich ist.
  3. Kompromittierung prüfen: DIVD stellt ein Prüfskript zur Auswertung der Zammad-Logfiles auf Indicators of Compromise (IoCs) bereit – Logs auf Session-Anomalien und unbekannte RCE-Aktivitäten untersuchen.
  4. Verkettung beachten: Zusätzlich auf CVE-2026-102490 (LPE von Zammad-User auf Root, alle Versionen bis v7.1.0-alpha) prüfen und härten.
  5. DIVD-Meldungen beachten: DIVD scannt aktiv nach öffentlich erreichbaren verwundbaren Instanzen und benachrichtigt Betreiber seit dem 26.09.2026.

Quellen

REFERENZEN