Zammad: Mehrere Schwachstellen ermöglichen Ausführen von beliebigem Programmcode und Privilegieneskalation
WID-SEC-2026-3694 · première publication 01.10.2026 · mise à jour 09.10.2026 · CVSS 9,6
De quoi il s’agit
Zammad ist ein Helpdesk- und Ticketsystem. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Zammad ausnutzen, um beliebigen Programmcode mit Benutzerrechten auszuführen und um Root-Rechte zu erlangen.
Dans quelles conditions ?
Par le réseau et sans authentification. C’est la combinaison la plus dangereuse : les attaquants peuvent rechercher automatiquement les appareils accessibles.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- beliebigen Programmcode mit Benutzerrechten auszuführen
- Root-Rechte zu erlangen
Suis-je concerné ?
Concernés selon le BSI :
- Zammad Zammad <=7.1.3
- Zammad Zammad <7.1.0-alpha
- Zammad Zammad <7.2.2
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- Zammad Zammad <=7.1.3
- Zammad Zammad 7.1.0-alpha
- Zammad Zammad 7.2.2
La faille est-elle déjà exploitée ?
- CVE-2026-102490: exploitée dans la nature selon la CISA, au catalogue depuis le 02.10.2026.
- CVE-2026-102489: exploitée dans la nature selon la CISA, au catalogue depuis le 02.10.2026.
Informations et sources
- Avis original du BSI (WID)
- GitHub Advisory Database vom 2026-09-30 github.com
- GitHub Advisory Database vom 2026-09-30 github.com
- Zammad 7.2.2 Release Notes vom 2026-10-08 zammad.com
CVE: CVE-2026-102489, CVE-2026-102490
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.