Zammad: CVE-2026-102489 exploatată, de la sesiune deturnată la RCE

Pe 30 septembrie 2026 a fost publicată CVE-2026-102489, o vulnerabilitate critică în Zammad, platforma web de helpdesk și gestionare a tichetelor. În aceeași zi, NCSC-NL, centrul național de securitate cibernetică al Țărilor de Jos, a emis avizul NCSC-2026-0396 despre vulnerabilitățile găsite în Zammad, cu cea mai înaltă clasificare din scala sa: H/H, probabilitate și impact ridicate.

Pe 2 octombrie, CISA a inclus CVE-2026-102489 în catalogul Known Exploited Vulnerabilities (KEV): vulnerabilitatea este deci deja exploatată în atacuri reale. Pentru agențiile federale americane, termenul de intervenție a fost 5 octombrie.

Ce s-a întâmplat

Conform descrierii publicate în baza de date NVD, versiunile Zammad de la 6.3.0 la 6.5.4 sunt vulnerabile la o deturnare a sesiunii (session hijack) care duce la execuție de cod de la distanță cu privilegiile utilizatorului zammad, cel sub care rulează aplicația.

Defectul este prezent și în versiunile de la 7.0.0 la 7.1.2, dar, conform aceleiași descrieri, nu poate fi exploatat, din cauza unor modificări ale framework-ului pe care se bazează Zammad.

Avizul NCSC-NL vorbește despre vulnerabilități la plural, iar avizul producătorului, printre referințele fișei NVD, tratează două CVE: CVE-2026-102489 și CVE-2026-102490. Despre a doua, în sursele disponibile există doar titlul unui mesaj Zammad din comunitatea sa: o escaladare locală a privilegiilor, semnalată ca exploatată activ. Sursele nu indică versiunile afectate și detaliile acestei a doua vulnerabilități și nici nu spun dacă cele două sunt folosite împreună.

Detalii tehnice

• CVE: CVE-2026-102489.
• Slăbiciune: CWE-384 (Session Fixation). De altfel, catalogul KEV o numește „Session Fixation Vulnerability”, în timp ce descrierea NVD vorbește despre session hijack.
• Versiuni afectate și exploatabile: Zammad de la 6.3.0 la 6.5.4.
• Versiuni cu defectul, dar neexploatabile: de la 7.0.0 la 7.1.2.
• Impact: execuție de cod de la distanță ca utilizator zammad.
• Scoruri CVSS, cu o diferență de reținut:
  • 9.8 (critic) în CVSS 3.1, calculat de NIST: atac din rețea, complexitate redusă, fără privilegii și fără interacțiunea utilizatorului;
  • 9.4 (critic) în CVSS 4.0, calculat de CSIRT-ul olandez DIVD: atac din rețea, fără privilegii, dar cu o interacțiune pasivă a utilizatorului (UI:P). Vectorul indică și exploatarea deja observată (E:A).
• Exploatare: confirmată de CISA prin includerea în catalogul KEV. Potrivit CISA, folosirea în campanii ransomware nu este cunoscută deocamdată.
• MITRE ATT&CK: exploatarea unei aplicații web accesibile din rețea corespunde tehnicii T1190 (Exploit Public-Facing Application). Sursele nu descriu lanțul de atac și nici indicatori de compromitere.

Diferența dintre cele două scoruri ține de interacțiunea utilizatorului: pentru NIST nu este necesară, pentru DIVD este necesară o interacțiune pasivă. În ambele cazuri atacatorul nu are nevoie de credențiale.

Impactul pentru companiile europene și italiene

Un helpdesk adună tichete, emailuri, atașamente și date personale ale clienților și angajaților și este adesea conectat la căsuțele de email și la alte sisteme ale companiei. A executa cod cu privilegiile aplicației înseamnă a putea acționa asupra a tot ce poate accesa aplicația. De aceea, o vulnerabilitate de acest tip, deja exploatată și fără nevoie de credențiale, trebuie tratată ca urgentă, începând cu instanțele accesibile din Internet.

Pentru entitățile care intră sub incidența NIS2, gestionarea promptă a vulnerabilităților face parte din măsurile cerute, iar o compromitere trebuie evaluată pentru notificarea către CSIRT-ul național, care în Italia este CSIRT Italia al ACN. Dacă helpdesk-ul conține date personale, un acces neautorizat trebuie evaluat și conform GDPR.

Ce să faci acum

1. Inventar: identifică toate instanțele Zammad, cu versiunea instalată, și verifică pe care le poți accesa din Internet. Prioritate au versiunile de la 6.3.0 la 6.5.4.
2. Actualizează: urmează avizul Zammad despre CVE-2026-102489 și CVE-2026-102490 și adu fiecare instanță la o versiune corectată, începând cu cele expuse. Sursele disponibile nu indică numărul versiunii corectate: verifică-l în aviz. CISA cere aplicarea măsurilor indicate de producător sau, dacă acestea nu sunt disponibile, renunțarea la produs.
3. Versiunile 7.x: chiar dacă defectul nu poate fi exploatat de la 7.0.0 la 7.1.2, verifică în avizul producătorului indicațiile pentru aceste ramuri.
4. Redu expunerea: până aplici actualizarea, ia în calcul să faci helpdesk-ul accesibil doar din rețeaua internă sau prin VPN.
5. Caută semne de compromitere: pentru agențiile federale, CISA trimite la cerințele sale de triaj criminalistic. Pe instanțele care au fost expuse cu o versiune vulnerabilă, examinează logurile aplicației și ale serverului, procesele și comenzile pornite de utilizatorul zammad și modificările fișierelor aplicației.
6. Sesiuni și credențiale: după actualizare, închide sesiunile active și, dacă găsești semne de compromitere, înlocuiește credențialele și tokenurile folosite de Zammad pentru integrări.
7. Urmărește CVE-2026-102490: fii atent la avizul producătorului pentru detaliile despre escaladarea privilegiilor.

Cum te ajută ARXDOME

ARX Expose arată ce servicii expune compania ta în Internet, ce produse sunt recunoscute pe ele și care au vulnerabilități cunoscute: te ajută să afli dacă un helpdesk Zammad poate fi accesat din exterior. ARX Shield enumeră vulnerabilitățile deschise pe mașinile monitorizate și le scoate în evidență pe cele deja exploatate de atacatori. ARX Sentry colectează loguri și evenimente de pe serverele pe care este instalat agentul și controlează integritatea fișierelor în folderele stabilite. Cu ARX Horizon poți consulta din portal detaliile vulnerabilităților și poți căuta indicatori de compromitere.

Ultima actualizare: 2 octombrie 2026