Zammad: munkamenet-eltérítési sérülékenység távoli kódfuttatáshoz vezet, és aktívan kihasználják (CVE-2026-102489)

Mi történt

A CVE-rekord munkamenet-eltérítési sérülékenységet (CWE-384) ír le a Zammadban, amely a zammad felhasználó jogosultságával távoli kódfuttatáshoz vezethet. A CVSS 4.0 szerinti pontszám 9,4, ami kritikus; a támadási vektor hálózati, a támadás komplexitása alacsony, a kihasználáshoz nincs szükség jogosultságra, és passzív felhasználói interakciót feltételez. A vektor magas hatást rögzít a bizalmasságra, a sértetlenségre és a rendelkezésre állásra a sérülékeny rendszeren, valamint az azt követő rendszereken.

A sérülékenység a Zammad 7.0.0-tól 7.1.3-ig terjedő verzióiban is jelen van, ott azonban a környezeti feltételek miatt nem kihasználható.

A CISA 2026. október 2-án vette fel ezt a CVE-azonosítót a Known Exploited Vulnerabilities katalógusba, és 2026. október 5-i határidőt tűzött ki. A CISA SSVC-értékelése szerint a kihasználás aktív és automatizálható, a technikai hatás teljes. A rekord nem tünteti fel a sérülékenységet nyilvánosan közzétettként.

Kit érint

Az érintett tartomány a Zammad 6.3.0-tól a 6.5.4 előtti verziókig terjed. A CVE-rekord emellett rögzíti, hogy a sérülékenység a Zammad 7.0.0-tól 7.1.3-ig terjedő verziókban is jelen van, de ott a környezeti feltételek miatt nem kihasználható. A Zammadot futtató szervezeteknek ellenőrizniük kell, hogy az általuk használt verzió a 6.3.0-tól a 6.5.4 előtti verziókig terjedő érintett tartományba esik-e.

Mit kell most tenni

1. Frissítse az érintett Zammad-telepítéseket a Zammad 6.5.4-es verziójára, amely a CVE-rekordban rögzített javított kiadás.
2. Kövesse a CISA KEV-katalógusában előírt intézkedést: alkalmazza a gyártói utasításoknak és a BOD 26-04 iránymutatásnak megfelelő kockázatcsökkentő intézkedéseket, vagy szüntesse be a termék használatát, ha nem érhetők el kockázatcsökkentő megoldások.
3. A frissítés befejezéséig korlátozza a Zammad-példányok hálózati elérhetőségét, különösen az internet felől elérhető telepítések esetében, és tekintse át a hitelesítési és munkamenet-tevékenységeket rendellenességek keresése érdekében. A CVE-rekord nem tartalmaz gyártói kerülő megoldást.

Hogyan észlelhető

A CVE-rekord nem tartalmaz sem gyártói, sem CISA által közzétett észlelési útmutatót vagy indikátorokat. Ha a javítás telepítése késik, összpontosítson az internet felől elérhető Zammad-példányokra, és tekintse át a hitelesítési és munkamenet-tevékenységeket a váratlan változások keresése érdekében.

A javításon túl

Mivel a CISA KEV-katalógusa aktívan kihasználtként tartja nyilván ezt a sérülékenységet, a javítás folyamata alatt az észlelés és a reagálás az első védelmi vonal; a Menedzselt kiberbiztonsági felügyelet (MDR) erre a célra készült. A CVSS-vektor hálózatról elérhető szolgáltatást mutat, amelynek kihasználása nem igényel jogosultságot, ezért a Virtuális CISO szolgáltatás (vCISO) segíthet felmérni a kitettségét, és csökkenteni az internet felől elérhető támadási felületét.