CVE-2026-102490HighCVSS: 8.5

Zammad: Lokale Privilegieneskalation zu Root (CVE-2026-102490)

Alle Zammad-Versionen von 1.5.0 bis 7.1.0-alpha ermöglichen dem lokalen zammad-Benutzer eine Privilegieneskalation zu Root. Die Schwachstelle wird mit CVSS 8.5 (High) bewertet und ist in Kombination mit CVE-2026-102489 besonders kritisch. Nutzer sollten umgehend auf Zammad 7 aktualisieren.

METADATEN

Entdeckt:: 30.09.2026
Patch verfügbar:: Ja

BETROFFENE SYSTEME

•Zammad 1.5.0 bis <7.1.0-alpha auf Linux
•Zammad 1.5.0 bis <7.1.0-alpha in Docker

Zusammenfassung

Die Schwachstelle CVE-2026-102490 betrifft alle Zammad-Versionen von 1.5.0 bis 7.1.0-alpha, einschließlich der aktuellen Alpha-Version. Sie ermöglicht dem lokalen zammad-Benutzer eine Privilegieneskalation zu Root mit vollständiger Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit. Die Schwachstelle wurde im Rahmen der Untersuchung des Falls DIVD-2026-00015 durch DIVD und Merlon Security entdeckt und mit CVSS 8.5 (High) bewertet.

Technische Details

CVE-ID: CVE-2026-102490
CVSS 4.0 Score: 8.5 (High)
Vektor: CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:A/AU:Y/V:D
Angriffsvektor: Lokal (Local)
Angriffskomplexität: Niedrig
Erforderliche Privilegien: Niedrig (lokaler zammad-Benutzer)
Auswirkung: Eskalation der Privilegien zu Root mit hohem Einfluss auf Vertraulichkeit, Integrität und Verfügbarkeit
Automatisierbar: Ja
Entdecker: Earth Grob, Luke Paris, Tijmen van der Spijk, Zohar Cochavi, Alje Woltjer (Merlon Security), Mischa Rick van Geelen, Ralph Horn, Max van der Horst, Victor Pasman, Frank Breedijk (DIVD)
Verkettung: In Kombination mit CVE-2026-102489 (Session-Hijacking mit Remote Code Execution als zammad-User) steigt der CVSS-Score auf 9.4 (Critical) mit Netzwerk-Angriffsvektor und vollständiger Systemkompromittierung.

Betroffene Systeme

Zammad GmbH Zammad Versionen >= 1.5.0 bis < 7.1.0-alpha auf Linux
Zammad GmbH Zammad Versionen >= 1.5.0 bis < 7.1.0-alpha in Docker-Umgebungen
Nicht betroffen: Versionen < 1.5.0

Alle Installationen in den genannten Versionsbereichen sind verwundbar, einschließlich der aktuellen Alpha-Version.

Empfehlungen und Maßnahmen

Umgehend auf Zammad Version 7 aktualisieren. Laut DIVD ist ein Patch verfügbar.
Falls ein Update nicht sofort möglich ist, die Zammad-Instanz vorübergehend vom Netz nehmen bzw. offline schalten.
Logdateien mit dem Verifikations-Skript von DIVD auf Indicators of Compromise (IoC) prüfen, insbesondere im Zusammenhang mit CVE-2026-102489.
Lokale Zugänge des zammad-Benutzers einschränken und auf ungewöhnliche Root-Aktivitäten überwachen.
Da die Schwachstelle bereits aktiv zur Kompromittierung von DIVD ausgenutzt wurde (21.09.2026), sollte von einer aktiven Ausnutzung ausgegangen werden.