Zammad: CVE-2026-102489 explotada, del secuestro de sesión a RCE

El 30 de septiembre de 2026 se publicó la CVE-2026-102489, una vulnerabilidad crítica de Zammad, la plataforma web de helpdesk y gestión de tickets. Ese mismo día el NCSC-NL, el centro nacional de ciberseguridad de los Países Bajos, difundió el aviso NCSC-2026-0396 sobre las vulnerabilidades encontradas en Zammad, con la clasificación más alta de su escala: H/H, probabilidad e impacto altos.

El 2 de octubre la CISA incluyó la CVE-2026-102489 en el catálogo Known Exploited Vulnerabilities (KEV): la vulnerabilidad ya se explota en ataques reales. Para las agencias federales estadounidenses, el plazo para actuar era el 5 de octubre.

Qué ha pasado

Según la descripción publicada en la base de datos NVD, las versiones de Zammad de la 6.3.0 a la 6.5.4 son vulnerables a un secuestro de sesión (session hijack) que lleva a la ejecución remota de código con los privilegios del usuario zammad, con el que se ejecuta la aplicación.

El fallo también está presente en las versiones de la 7.0.0 a la 7.1.2, pero según la misma descripción no se puede explotar, por cambios en el framework en el que se basa Zammad.

El aviso del NCSC-NL habla de vulnerabilidades en plural, y el aviso del fabricante, entre las referencias de la ficha NVD, trata dos CVE: la CVE-2026-102489 y la CVE-2026-102490. De la segunda, en las fuentes disponibles, solo está el título de un mensaje de Zammad en su comunidad: una elevación local de privilegios, señalada como explotada activamente. Las fuentes no indican las versiones afectadas ni los detalles de esta segunda vulnerabilidad, ni dicen si las dos se usan juntas.

Detalles técnicos

• CVE: CVE-2026-102489.
• Debilidad: CWE-384 (Session Fixation). De hecho, el catálogo KEV la llama «Session Fixation Vulnerability», mientras que la descripción NVD habla de session hijack.
• Versiones afectadas y explotables: Zammad de la 6.3.0 a la 6.5.4.
• Versiones con el fallo pero no explotables: de la 7.0.0 a la 7.1.2.
• Impacto: ejecución remota de código como usuario zammad.
• Puntuaciones CVSS, con una diferencia a tener en cuenta:
  • 9.8 (crítica) en CVSS 3.1, calculada por el NIST: ataque desde la red, baja complejidad, sin privilegios y sin interacción del usuario;
  • 9.4 (crítica) en CVSS 4.0, calculada por el CSIRT neerlandés DIVD: ataque desde la red, sin privilegios, pero con una interacción pasiva del usuario (UI:P). El vector indica también una explotación ya observada (E:A).
• Explotación: confirmada por la CISA con la inclusión en el catálogo KEV. Según la CISA, por ahora no se sabe si se usa en campañas de ransomware.
• MITRE ATT&CK: la explotación de una aplicación web accesible desde la red corresponde a T1190 (Exploit Public-Facing Application). Las fuentes no describen la cadena de ataque ni indicadores de compromiso.

La diferencia entre las dos puntuaciones está en la interacción del usuario: para el NIST no hace falta, para el DIVD hace falta una interacción pasiva. En ambos casos el atacante no necesita credenciales.

Impacto para las empresas europeas e italianas

Un helpdesk reúne tickets, correos, adjuntos y datos personales de clientes y empleados, y a menudo está conectado a buzones de correo y a otros sistemas de la empresa. Ejecutar código con los privilegios de la aplicación significa poder actuar sobre todo aquello a lo que la aplicación tiene acceso. Por eso una vulnerabilidad de este tipo, ya explotada y sin necesidad de credenciales, debe tratarse como urgente, empezando por las instancias accesibles desde Internet.

Para las entidades sujetas a la NIS2, la gestión rápida de las vulnerabilidades forma parte de las medidas exigidas, y un compromiso debe evaluarse para su notificación al CSIRT nacional, que en Italia es el CSIRT Italia de la ACN. Si el helpdesk contiene datos personales, un acceso no autorizado también debe evaluarse según el RGPD.

Qué hacer ya

1. Inventario: localiza todas las instancias de Zammad, con la versión instalada, y comprueba cuáles son accesibles desde Internet. La prioridad son las versiones de la 6.3.0 a la 6.5.4.
2. Actualiza: sigue el aviso de Zammad sobre las CVE-2026-102489 y CVE-2026-102490 y lleva cada instancia a una versión corregida, empezando por las expuestas. Las fuentes disponibles no indican el número de la versión corregida: compruébalo en el aviso. La CISA pide aplicar las mitigaciones indicadas por el fabricante o, si no están disponibles, dejar de usar el producto.
3. Versiones 7.x: aunque el fallo no se puede explotar de la 7.0.0 a la 7.1.2, revisa en el aviso del fabricante las indicaciones para estas ramas.
4. Reduce la exposición: mientras no apliques la actualización, valora dejar el helpdesk accesible solo desde la red interna o a través de una VPN.
5. Busca señales de compromiso: para las agencias federales, la CISA remite a sus requisitos de triaje forense. En las instancias que estuvieron expuestas con una versión vulnerable, revisa los logs de la aplicación y del servidor, los procesos y comandos iniciados por el usuario zammad y los cambios en los archivos de la aplicación.
6. Sesiones y credenciales: después de actualizar, cierra las sesiones activas y, si encuentras señales de compromiso, sustituye las credenciales y los tokens que Zammad usa para sus integraciones.
7. Sigue la CVE-2026-102490: vigila el aviso del fabricante para conocer los detalles de la elevación de privilegios.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en Internet, qué productos se reconocen en ellos y cuáles tienen vulnerabilidades conocidas: te ayuda a descubrir si un helpdesk Zammad es accesible desde fuera. ARX Shield enumera las vulnerabilidades abiertas en las máquinas supervisadas y destaca las que ya explotan los atacantes. ARX Sentry recoge logs y eventos de los servidores en los que está instalado el agente y controla la integridad de los archivos en las carpetas establecidas. Con ARX Horizon puedes consultar desde el portal los detalles de las vulnerabilidades y buscar indicadores de compromiso.

Última actualización: 2 de octubre de 2026