Kurzfassung
Für Zammad sind mit CVE-2026-102489 und CVE-2026-102490 zwei Schwachstellen bekannt, die nachweislich bereits aktiv ausgenutzt werden. Die Kombination ist besonders brisant: Eine Lücke kann Remotecodeausführung als Benutzer zammad ermöglichen, die zweite anschließend eine Rechteausweitung bis auf root. Wer Zammad selbst betreibt, sollte Updates und Gegenmaßnahmen sofort umsetzen und nicht bis zum nächsten Wartungsfenster warten.
Was ist passiert?
Betroffen ist die Ticketsystem- und Helpdesk-Software Zammad der Zammad GmbH. Für das Produkt wurden zwei zusammenhängende Schwachstellen erfasst, die laut CISA bereits in realen Angriffen missbraucht werden.
CVE-2026-102489 beschreibt eine Session-Fixation-Schwachstelle. Sie kann dazu führen, dass Angreifer aus der Ferne Code als Benutzer zammad ausführen. CVE-2026-102490 betrifft ein fehlerhaftes Berechtigungsmanagement und erlaubt dem lokalen Benutzer zammad eine Rechteausweitung auf root.
Besonders kritisch ist die Kette beider Lücken: Gelingt zunächst die Ausführung von Code als Dienstkonto, kann im nächsten Schritt die vollständige Übernahme des Systems folgen. Für Unternehmen im DACH-Raum ist das relevant, weil Zammad oft internetnah betrieben wird und in Support-Prozesse, Kundendaten, E-Mail-Kommunikation und interne Abläufe eingebunden ist.
Technische Details
CVE-2026-102489 ist eine Session-Fixation-Schwachstelle in Zammad. Laut den veröffentlichten Informationen kann sie zu Remotecodeausführung als Benutzer zammad führen. CVE-2026-102490 ist eine Schwachstelle im Berechtigungsmanagement, über die der lokale Benutzer zammad seine Rechte bis auf root erweitern kann.
Beide Schwachstellen lassen sich miteinander verknüpfen. Damit entsteht ein realistischer Angriffspfad von einem entfernten Einstieg bis zur vollständigen Systemkontrolle.
NVD hat noch keinen CVSS-Wert vergeben. Das gilt für CVE-2026-102489 ebenso wie für CVE-2026-102490. Trotz fehlender Bewertung ist die Lage klar dringlich, weil beide Einträge laut CISA bereits aktiv ausgenutzt werden.
Wer ist betroffen?
Betroffen ist Zammad. Welche Versionen verwundbar sind, geht aus den hier verfügbaren Angaben nicht hervor. Unternehmen sollten deshalb zunächst alle selbst betriebenen Zammad-Instanzen als potenziell betroffen behandeln, bis sie den eigenen Patch-Stand eindeutig geprüft haben.
Besonders hoch ist das Risiko bei öffentlich erreichbaren Installationen, etwa für externe Support-Portale, Kundenservice, Managed-Service-Angebote oder IT-Helpdesks mit Internetzugang. Auch intern erreichbare Systeme sind nicht automatisch sicher, weil bereits ein eingeschränkter Zugriff als Ausgangspunkt für die zweite Schwachstelle reichen kann.
Empfohlene Maßnahmen
Erstens: Zammad sofort aktualisieren beziehungsweise die vom Hersteller vorgesehenen Gegenmaßnahmen unverzüglich umsetzen. Wegen der bestätigten aktiven Ausnutzung ist das ein Sofort-Thema.
Zweitens: Alle öffentlich erreichbaren Zammad-Systeme priorisieren. Wenn ein Patch oder eine belastbare Abhilfe nicht umgehend eingespielt werden kann, sollten Sie den externen Zugriff vorübergehend einschränken oder die Instanz bis zur Absicherung aus dem Netz nehmen.
Drittens: Auf Anzeichen einer Kompromittierung prüfen. Relevant sind insbesondere ungewöhnliche Sitzungen, verdächtige Prozessstarts im Kontext des Benutzers zammad, unerwartete Rechtewechsel, Veränderungen an Systemdateien und unbekannte Root-Aktivitäten.
Viertens: Zugangsdaten und Sitzungen überprüfen. Da eine Session-Fixation-Lücke im Spiel ist, sollten Administratoren aktive Sitzungen beenden, administrative Konten kontrollieren und je nach Betriebsmodell Passwörter oder Tokens zurücksetzen.
Fünftens: Das zugrunde liegende System härten. Begrenzen Sie die Rechte des Dienstkontos, prüfen Sie sudo-Regeln, überwachen Sie Privilegwechsel und stellen Sie sicher, dass Protokolle zentral gesichert werden.
Ob ein Patch bereitsteht, nennen die verlinkten NVD-Einträge nicht. Auch konkrete betroffene Versionen werden dort nicht ausgewiesen.
Einschätzung von CyberSecurity-News.de
Die entscheidende Information ist nicht ein fehlender CVSS-Wert, sondern die bestätigte aktive Ausnutzung. Wer solche Meldungen allein nach Score priorisiert, läuft hier in eine gefährliche Falle. In der Praxis wiegt die Kombination aus Remotecodeausführung und möglicher Root-Übernahme deutlich schwerer als eine noch ausstehende Zahl in der NVD.
Für viele Unternehmen ist Zammad kein Kernsystem wie ein Verzeichnisdienst oder eine Firewall. Trotzdem kann eine kompromittierte Support-Plattform erhebliche Folgeschäden auslösen: Zugriff auf Kundenvorgänge, interne Kommunikation, personenbezogene Daten und oft auch Integrationen in Mail- oder Authentifizierungsumgebungen. Die Informationslage bleibt allerdings lückenhaft, weil NVD bislang weder CVSS-Werte noch sichtbare Detailtiefe zu betroffenen Versionen liefert.
Dass CISA beide Einträge als aktiv ausgenutzt führt, hebt die Priorität klar an. Wer Zammad nur intern zu Testzwecken ohne echte Daten betreibt, hat ein anderes Risikoprofil. Für produktive, erreichbare Instanzen ist die Sache dagegen eindeutig: sofort behandeln.
Fazit
Produktive Zammad-Installationen sollten Sie jetzt prüfen, absichern und unverzüglich aktualisieren. Ist eine zeitnahe Absicherung nicht möglich, gehört der externe Zugriff vorübergehend abgeschaltet und das System auf Spuren eines erfolgreichen Angriffs untersucht.
