Zammad: Session-Hijacking führt zu Remotecodeausführung und wird aktiv ausgenutzt (CVE-2026-102489)

Was passiert ist

Der CVE-Eintrag beschreibt eine Session-Hijacking-Schwachstelle (CWE-384) in Zammad, die zu Remotecodeausführung als Benutzer zammad führen kann. Der CVSS-4.0-Score liegt bei 9,4 (kritisch); der Angriffsvektor ist das Netzwerk, die Angriffskomplexität ist gering, es sind keine Berechtigungen erforderlich und die Nutzerinteraktion ist passiv. Der CVSS-Vektor weist hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems sowie nachgelagerter Systeme aus.

Die Schwachstelle ist auch in Zammad 7.0.0 bis 7.1.3 vorhanden, dort jedoch aufgrund von Umgebungsbedingungen nicht ausnutzbar.

Am 2. Oktober 2026 hat CISA diese CVE in den Katalog „Known Exploited Vulnerabilities“ (KEV) aufgenommen und eine Frist bis zum 5. Oktober 2026 festgelegt. Die SSVC-Bewertung von CISA stuft die Ausnutzung als aktiv und automatisierbar ein, mit vollständiger technischer Auswirkung. Der CVE-Eintrag kennzeichnet die Schwachstelle nicht als öffentlich bekannt gemacht.

Wer betroffen ist

Betroffen ist der Bereich Zammad 6.3.0 bis vor 6.5.4. Der CVE-Eintrag gibt zusätzlich an, dass die Schwachstelle in Zammad 7.0.0 bis 7.1.3 vorhanden ist, dort jedoch aufgrund von Umgebungsbedingungen nicht ausnutzbar ist. Organisationen, die Zammad einsetzen, sollten prüfen, ob ihre Version in den betroffenen Bereich 6.3.0 bis vor 6.5.4 fällt.

Was jetzt zu tun ist

1. Aktualisieren Sie betroffene Zammad-Installationen auf die im CVE-Eintrag genannte korrigierte Version Zammad 6.5.4.
2. Setzen Sie die von CISA im KEV-Katalog geforderte Maßnahme um: Wenden Sie Schutzmaßnahmen gemäß den Anweisungen des Herstellers und den Vorgaben aus BOD 26-04 an, oder stellen Sie die Nutzung des Produkts ein, falls keine Schutzmaßnahmen verfügbar sind.
3. Beschränken Sie bis zum Abschluss des Upgrades den Netzwerkzugang zu Zammad-Instanzen, insbesondere bei aus dem Internet erreichbaren Bereitstellungen; prüfen Sie außerdem Authentifizierungs- und Sitzungsaktivitäten auf Auffälligkeiten. Im CVE-Eintrag ist keine Problemumgehung des Herstellers aufgeführt.

Wie man es erkennt

Im CVE-Eintrag sind keine Erkennungshinweise oder Indikatoren des Herstellers oder von CISA veröffentlicht. Falls sich das Einspielen der Sicherheitsupdates verzögert, konzentrieren Sie sich auf aus dem Internet erreichbare Zammad-Instanzen und prüfen Sie Authentifizierungs- und Sitzungsaktivitäten auf unerwartete Änderungen.

Über den Patch hinaus

Da CISA diese Schwachstelle im KEV-Katalog als aktiv ausgenutzt führt, sind Erkennung und Reaktion die erste Verteidigungslinie, während Sicherheitsupdates eingespielt werden; dabei unterstützen wir Sie mit Managed Detection and Response (MDR). Der CVSS-Vektor zeigt einen aus dem Netzwerk erreichbaren Dienst ohne erforderliche Berechtigungen. Mit Virtual CISO Services (vCISO) unterstützen wir Sie dabei, Ihre exponierten Systeme zu erfassen und Ihre aus dem Internet erreichbare Angriffsfläche zu verringern.