Zammad: Mehrere Schwachstellen ermöglichen Ausführen von beliebigem Programmcode und Privilegieneskalation
WID-SEC-2026-3694 · erstmals 01.10.2026 · aktualisiert 09.10.2026 · CVSS 9,6
Worum es geht
Zammad ist ein Helpdesk- und Ticketsystem. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Zammad ausnutzen, um beliebigen Programmcode mit Benutzerrechten auszuführen und um Root-Rechte zu erlangen.
Unter welchen Bedingungen?
Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- beliebigen Programmcode mit Benutzerrechten auszuführen
- Root-Rechte zu erlangen
Bin ich betroffen?
Betroffen sind laut BSI:
- Zammad Zammad <=7.1.3
- Zammad Zammad <7.1.0-alpha
- Zammad Zammad <7.2.2
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Zammad Zammad <=7.1.3
- Zammad Zammad 7.1.0-alpha
- Zammad Zammad 7.2.2
Wird die Lücke schon ausgenutzt?
- CVE-2026-102490: laut CISA in freier Wildbahn ausgenutzt, im Katalog seit 02.10.2026.
- CVE-2026-102489: laut CISA in freier Wildbahn ausgenutzt, im Katalog seit 02.10.2026.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- GitHub Advisory Database vom 2026-09-30 github.com
- GitHub Advisory Database vom 2026-09-30 github.com
- Zammad 7.2.2 Release Notes vom 2026-10-08 zammad.com
CVE: CVE-2026-102489, CVE-2026-102490
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.