Zammad: Session-Hijacking führt zu Remote Code Execution

Zusammenfassung

Zammad, eine Open-Source-Helpdesk-Plattform, enthält eine Schwachstelle zur Session-Übernahme (CWE-384), die zu Remote Code Execution als Benutzer zammad führen kann. CISA führt die Schwachstelle als bekannt ausgenutzt und hat sie am 2. Oktober 2026 in den KEV-Katalog aufgenommen. Laut Hersteller ist eine Ausnutzung nur auf Zammad 6.5 und älter möglich, die nicht mehr unterstützt werden; der Status der Versionen 7.0.0 bis 7.1.x ist umstritten. Der CVSS-Vektor setzt keine Anmeldung und passive Benutzerinteraktion voraus.

Betroffen

• Zammad 6.3.0 bis unter 6.5.4 (CVE-Eintrag von DIVD)
• Zammad 6.5 und älter: laut Hersteller ausnutzbar; nicht mehr unterstützt
• Zammad 7.0.0 bis 7.1.x: umstritten; der Hersteller sagt, in der Praxis nicht betroffen, DIVD sagt, vorhanden, aber unter den Laufzeitbedingungen nicht ausnutzbar
• Versionen unter 6.3.0: unbekannt

Behoben in

• Zammad 7.2.0 (Hersteller; enthält zusätzliche Härtung des betroffenen Codes)
• Einige Sekundärquellen nennen 7.2.2; nicht durch Zammad bestätigt
• Zammad 6.5 und älter: keine Sicherheitskorrekturen, Upgrade erforderlich

Umgehung

• Zugriff auf den zugrunde liegenden Zammad-Server auf vertrauenswürdige Administratoren beschränken.
• Ein Upgrade ist die einzige echte Lösung; eine andere vom Hersteller bestätigte Massnahme ist nicht bekannt.

Ausnutzung

• CISA KEV: bekannt ausgenutzt, aufgenommen am 2. Oktober 2026.
• DIVD meldet, am 21. September 2026 durch zwei unbekannte Zammad-Schwachstellen kompromittiert worden zu sein; der Angriff wird einem KI-Agenten zugeschrieben.
• Ein öffentlicher Proof-of-Concept-Exploit wird von Dritten gemeldet; hier nicht verifiziert.
• Zammad sagt, eine Ausnutzung sei nur auf 6.5 und älter möglich.

Unsere Empfehlung

• Zammad sofort auf 7.2.0 oder neuer aktualisieren.
• Jede Instanz mit Zammad 6.5 oder älter upgraden; diese Versionen erhalten keine Sicherheitskorrekturen mehr.
• Zugriff auf den Zammad-Server auf vertrauenswürdige Administratoren beschränken.
• Logs auf Indikatoren einer Kompromittierung prüfen, insbesondere bei aus dem Internet erreichbaren 6.x-Instanzen.
• Die Sicherheitsmitteilungen von Zammad zu CVE-2026-102490 (lokale Rechteausweitung) verfolgen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (3 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  horizon3ai/CVE-2026-102489 · Hunt-Benito/the-cookie-in-the-error-message-cve-2026-102489-zammad-session-hijack-to-rce · 1xPwn/CVE-2026-102489

Quellen der Recherche

• Zammad Security Advisory CVE-2026-102489 & CVE-2026-102490 zammad.com
• DIVD CVE record CVE-2026-102489 csirt.divd.nl
• DIVD case DIVD-2026-00015 csirt.divd.nl
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• Zammad community statement on DIVD case community.zammad.org
• Help Net Security: DIVD agentic AI attack breach www.helpnetsecurity.com
• Horizon3 research on CVE-2026-102489 horizon3.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:26.