Zammad: Rechteausweitung zu Root bei aktiver Ausnutzung laut CISA-KEV-Katalog (CVE-2026-102490)

Was passiert ist

CVE-2026-102490 ist eine Schwachstelle in Zammad, die eine Rechteausweitung ermöglicht. Der CVE-Eintrag beschreibt, dass der lokale Benutzer zammad seine Rechte bis auf Root-Ebene ausweiten kann, und gibt an, dass alle Versionen einschließlich der neuesten Alpha-Version verwundbar sind.

Der CVSS-4.0-Vektor bewertet das Problem mit 9,4 als kritisch: Angriffsvektor über das Netzwerk, geringe Komplexität, keine erforderlichen Berechtigungen, passive Benutzerinteraktion sowie hohe Auswirkungen auf das verwundbare System und nachgelagerte Systeme.

CISA hat die Schwachstelle am 2. Oktober 2026 in den Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen und führt die Ausnutzung als aktiv. Im CVE-Eintrag sind weder Herstellername noch Herstellerhinweis noch Herstellerangaben enthalten.

Wer betroffen ist

Betroffen ist Zammad in Version 1.5.0 und allen nachfolgenden Versionen bis vor 7.1.0-alpha. Die korrigierte Version ist Zammad 7.1.0-alpha. Der CVE-Eintrag grenzt die Betroffenheit nicht nach Plattform, Bereitstellungsart oder Konfiguration ein. Behandeln Sie jede Zammad-Instanz im genannten Versionsbereich als betroffen.

Was jetzt zu tun ist

1. Spielen Sie auf betroffenen Instanzen die korrigierte Version Zammad 7.1.0-alpha ein.
2. Befolgen Sie die im CISA-KEV-Katalog genannte Handlungsanforderung und die Vorgaben aus BOD 26-04. Bewerten Sie die Erreichbarkeit jedes Systems aus dem Internet und stellen Sie die Nutzung ein, wenn keine Schutzmaßnahmen verfügbar sind. Die CISA-KEV-Frist endet am 5. Oktober 2026.
3. Wenn Sie die Sicherheitsupdates nicht sofort einspielen können, schränken Sie den Netzzugriff auf Zammad ein und segmentieren Sie die Anwendung netzwerkseitig von anderen Systemen, da der CVSS-Vektor die Schwachstelle als über das Netzwerk erreichbar beschreibt.
4. Überwachen Sie unerwartete Aktivitäten des Benutzers zammad mit Root-Rechten. Vom Hersteller wird keine Problemumgehung genannt.

Wie man es erkennt

Der Hersteller hat keine Indikatoren für eine Kompromittierung veröffentlicht. Beginnen Sie damit, aus dem Internet erreichbare Zammad-Instanzen zu identifizieren, da der CVSS-Vektor die Schwachstelle als über das Netzwerk erreichbar beschreibt, und überwachen Sie unerwartete Prozesse mit Root-Rechten oder Berechtigungsänderungen im Zusammenhang mit dem Benutzer zammad.

Über den Patch hinaus

Spielen Sie zuerst die Sicherheitsupdates ein und beseitigen Sie anschließend die Angriffsfläche, die eine derartige Schwachstelle hinterlässt. Da CISA eine aktive Ausnutzung verzeichnet, können Sie mit Managed Detection and Response Systeme, die möglicherweise bereits betroffen sind, auf Aktivitäten nach einer Ausnutzung überwachen. Da die Schwachstelle als über das Netzwerk erreichbar bewertet ist, unterstützen wir Sie mit Virtual CISO Services dabei, die Erreichbarkeit aus dem Internet und die Ausrichtung an BOD 26-04 zu überprüfen, bevor die nächste CVE-Schwachstelle veröffentlicht wird.