Zammad: CVE-2026-102489 sfruttata, dal session hijack alla RCE

Il 30 settembre 2026 è stata pubblicata la CVE-2026-102489, una vulnerabilità critica di Zammad, la piattaforma web di helpdesk e gestione dei ticket. Lo stesso giorno il NCSC-NL, il centro nazionale per la sicurezza informatica dei Paesi Bassi, ha diffuso l’avviso NCSC-2026-0396 sulle vulnerabilità trovate in Zammad, con la classificazione più alta della sua scala: H/H, probabilità e impatto alti.

Il 2 ottobre la CISA ha inserito la CVE-2026-102489 nel catalogo Known Exploited Vulnerabilities (KEV): la vulnerabilità è quindi già sfruttata in attacchi reali. Per le agenzie federali statunitensi la scadenza per intervenire era il 5 ottobre.

Cosa è successo

Secondo la descrizione pubblicata nel database NVD, le versioni di Zammad dalla 6.3.0 alla 6.5.4 sono vulnerabili a un dirottamento della sessione (session hijack) che porta all’esecuzione di codice a distanza con i privilegi dell’utente zammad, quello con cui gira l’applicazione.

Il difetto è presente anche nelle versioni dalla 7.0.0 alla 7.1.2, ma secondo la stessa descrizione non è sfruttabile, per alcune modifiche al framework su cui si basa Zammad.

L’avviso del NCSC-NL parla di vulnerabilità al plurale, e l’avviso del produttore, tra i riferimenti della scheda NVD, riguarda due CVE: la CVE-2026-102489 e la CVE-2026-102490. Della seconda, nelle fonti disponibili, c’è solo il titolo di un messaggio di Zammad nella sua community: un’elevazione locale dei privilegi, segnalata come sfruttata attivamente. Le fonti non descrivono versioni colpite e dettagli di questa seconda vulnerabilità, né dicono se le due vengano usate insieme.

Dettagli tecnici

• CVE: CVE-2026-102489.
• Debolezza: CWE-384 (Session Fixation). Il catalogo KEV la chiama infatti «Session Fixation Vulnerability», mentre la descrizione NVD parla di session hijack.
• Versioni colpite e sfruttabili: Zammad dalla 6.3.0 alla 6.5.4.
• Versioni con il difetto ma non sfruttabili: dalla 7.0.0 alla 7.1.2.
• Impatto: esecuzione di codice a distanza come utente zammad.
• Punteggi CVSS, con una differenza da notare:
  • 9.8 (critico) in CVSS 3.1, calcolato dal NIST: attacco dalla rete, bassa complessità, nessun privilegio e nessuna interazione dell’utente richiesti;
  • 9.4 (critico) in CVSS 4.0, calcolato dal CSIRT olandese DIVD: attacco dalla rete, nessun privilegio, ma con un’interazione passiva dell’utente (UI:P). Il vettore indica anche lo sfruttamento già osservato (E:A).
• Sfruttamento: confermato dalla CISA con l’inserimento nel catalogo KEV. L’uso in campagne ransomware, per la CISA, al momento non è noto.
• MITRE ATT&CK: lo sfruttamento di un’applicazione web raggiungibile dalla rete corrisponde a T1190 (Exploit Public-Facing Application). Le fonti non descrivono la catena di attacco né indicatori di compromissione.

La differenza tra i due punteggi riguarda l’interazione dell’utente: per il NIST non serve, per il DIVD serve un’interazione passiva. In entrambi i casi l’attaccante non ha bisogno di credenziali.

Impatto per le aziende europee e italiane

Un helpdesk raccoglie ticket, email, allegati e dati personali di clienti e dipendenti, e spesso è collegato alle caselle di posta e ad altri sistemi aziendali. Eseguire codice con i privilegi dell’applicazione significa poter agire su tutto ciò a cui l’applicazione ha accesso. Per questo una vulnerabilità di questo tipo, già sfruttata e senza bisogno di credenziali, va trattata come urgente, a partire dalle istanze raggiungibili da Internet.

Per i soggetti che rientrano nella NIS2, la gestione tempestiva delle vulnerabilità fa parte delle misure richieste, e una compromissione va valutata per la notifica al CSIRT nazionale, che in Italia è lo CSIRT Italia dell’ACN. Se nell’helpdesk ci sono dati personali, un accesso non autorizzato va valutato anche secondo il GDPR.

Cosa fare subito

1. Inventario: individua tutte le istanze Zammad, con la versione installata, e verifica quali sono raggiungibili da Internet. La priorità va alle versioni dalla 6.3.0 alla 6.5.4.
2. Aggiorna: segui l’avviso di Zammad sulle CVE-2026-102489 e CVE-2026-102490 e porta ogni istanza a una versione corretta, partendo da quelle esposte. Le fonti disponibili non riportano il numero della versione corretta: verificalo nell’avviso. La CISA chiede di applicare le mitigazioni indicate dal produttore o, se non sono disponibili, di smettere di usare il prodotto.
3. Versioni 7.x: anche se il difetto non è sfruttabile dalla 7.0.0 alla 7.1.2, controlla nell’avviso del produttore le indicazioni per questi rami.
4. Riduci l’esposizione: finché l’aggiornamento non è applicato, valuta di rendere l’helpdesk raggiungibile solo dalla rete interna o tramite VPN.
5. Cerca segni di compromissione: la CISA richiama, per le agenzie federali, i suoi requisiti di triage forense. Sulle istanze che sono state esposte con una versione vulnerabile, esamina i log dell’applicazione e del server, i processi e i comandi avviati dall’utente zammad e le modifiche ai file dell’applicazione.
6. Sessioni e credenziali: dopo l’aggiornamento, chiudi le sessioni attive e, se trovi segni di compromissione, sostituisci le credenziali e i token usati da Zammad per le integrazioni.
7. Segui la CVE-2026-102490: tieni d’occhio l’avviso del produttore per i dettagli sull’elevazione dei privilegi.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su Internet, quali prodotti vi sono riconosciuti e quali hanno vulnerabilità note: aiuta a scoprire se un helpdesk Zammad è raggiungibile da fuori. ARX Shield elenca le vulnerabilità aperte sulle macchine monitorate e mette in evidenza quelle già sfruttate dagli attaccanti. ARX Sentry raccoglie log ed eventi dei server su cui è installato l’agent e controlla l’integrità dei file nelle cartelle stabilite. Con ARX Horizon puoi consultare dal portale i dettagli delle vulnerabilità e cercare gli indicatori di compromissione.

Ultimo aggiornamento: 2 ottobre 2026