De U.S. Cybersecurity and Infrastructure Security Agency (CISA) heeft op 2 oktober 2026 twee kwetsbaarheden in de helpdesksystemen van Zammad toegevoegd aan de catalogus van bekende geëxploiteerde kwetsbaarheden. De kwetsbaarheden, geïdentificeerd als CVE-2026-102489 en CVE-2026-102490, vormen een potentieel ernstig risico voor organisaties die deze software gebruiken.

Zammad heeft publieke meldingen erkend die verband houden met deze kwetsbaarheden, specifiek die in DIVD-zaak DIVD-2026-00015. CVE-2026-102489 is een sessiefixatiekwetsbaarheid die oudere, niet langer ondersteunde versies van Zammad treft. Als deze succesvol wordt geëxploiteerd, kan dit leiden tot code-uitvoering op afstand, met name wanneer de aanvaller code uitvoert met lage privileges.

CVE-2026-102490 betreft een onjuist privilegebeheer. Deze kwetsbaarheid kan een lokale Zammad-gebruiker in staat stellen om de rechten van een root-gebruiker te verkrijgen op Linux-systemen. Een voorwaarde voor misbruik is echter dat aanvallers eerst servertoegang moeten verkrijgen; CISA bevestigt dat deze privilege-escalatie op zichzelf niet op afstand kan worden geëxploiteerd. De combinatie van beide kwetsbaarheden kan echter worden gebruikt om controle te verkrijgen over Zammad-helpdesksystemen.

Zammad geeft aan dat versies 7.0 en nieuwer niet worden beïnvloed door deze problemen, en dat versie 7.2.0 extra beveiligingsmaatregelen bevat. Gebruikers van versie 6.5 of ouder wordt dringend geadviseerd om te updaten naar Zammad 7.2.0.

Voor Amerikaanse federale civiele agentschappen geldt een hersteldeadline van 5 oktober 2026. CISA vereist onder Binding Operational Directive 26-04 dat deze agentschappen een forensisch onderzoek uitvoeren. Dit houdt in dat aangetaste systemen niet alleen van mitigaties voorzien moeten worden, maar ook grondig onderzocht op tekenen van inbreuk.

Organisaties wordt aangeraden om serverlogs, actieve processen, gebruikersaccounts, geplande taken, SSH-toegang, webserverlogs en ongebruikelijke uitgaande verbindingen te controleren op bewijs van ongeautoriseerde toegang. CISA adviseert tevens om vendor mitigaties toe te passen, de blootstelling aan internet te beoordelen en, indien adequate mitigaties niet beschikbaar zijn, het gebruik van het product te staken.