Zammad: Schwachstelle ermöglicht Privilegienerweiterung
WID-SEC-2026-3839 · erstmals 09.10.2026 · aktualisiert 09.10.2026 · CVSS 7,8
Worum es geht
Zammad ist ein Helpdesk- und Ticketsystem. Ein lokaler Angreifer kann eine Schwachstelle in Zammad ausnutzen, um seine Privilegien zu erweitern
Unter welchen Bedingungen?
Nur mit Zugriff auf das Gerät oder ein Konto darauf. Oft der zweite Schritt nach einer Phishing-Mail.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- seine Privilegien zu erweitern
Bin ich betroffen?
Betroffen sind laut BSI:
- Zammad Zammad <7.2.2
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Zammad Zammad 7.2.2
Wird die Lücke schon ausgenutzt?
- CVE-2026-102490: laut CISA in freier Wildbahn ausgenutzt, im Katalog seit 02.10.2026.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Zammad Release 7.2.2 vom 2026-10-08 zammad.com
- GitHub Security Advisory GHSA-p97w-927q-8vxq vom 2026-10-08 github.com
CVE: CVE-2026-102490
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.