Skip to content
OpenAdvisories
Critical 2 exploited CVEs NCSC-2026-0396 2 CVEs

Kwetsbaarheden aangetroffen in Zammad

Published Sep 30, 2026 · Updated Sep 30, 2026 · nl

Vendor: zammad Product: zammad

Summary

Er zijn twee zeroday-kwetsbaarheden aangetroffen in Zammad.

Details

Interpretaties
De eerste kwetsbaarheid heeft het kenmerk CVE-2026-102489 toegekend gekregen. De kwetsbaarheid stelt een ongeauthenticeerde kwaadwillende op afstand in staat om willekeurige code uit te voeren. De kwetsbaarheid is aanwezig in Zammad versies 6.3.0 tot en met 6.5.4.

De tweede kwetsbaarheid heeft het kenmerk CVE-2026-102490 toegekend gekregen. Deze kwetsbaarheid stelt een kwaadwillende die over lage rechten beschikt in staat om rootrechten te verkrijgen op het kwetsbare systeem. Deze kwetsbaarheid is aanwezig in alle gangbare versies van Zammad.

De kwetsbaarheden worden in ieder geval sinds 21 september 2026 actief misbruikt voor het op afstand verkrijgen van rootrechten op het systeem waar Zammad op draait.

Oplossingen
Zammad heeft beveiligingsupdates uitgebracht voor het verhelpen van CVE-2026-102489. Het NCSC adviseert om de updates met spoed te installeren. Stel applicatie- en netwerklogs veilig alvorens je deze updates installeert. Dergelijke loggegevens kunnen in een later stadium nodig zijn om vast te stellen of jouw Zammad-omgeving in de zeroday-fase is gecompromitteerd.

De tweede kwetsbaarheid is vooralsnog niet verholpen. Neem contact op met je leverancier als je vragen over deze kwetsbaarheid hebt.

Vulnerabilities 2

  • Critical 9.4
    CVE-2026-102489 Exploited Public exploit EPSS 50%

    Undisclosed RCE in Zammad v6.3 and higher

    Zammad versions 6.3.0 to 6.5.4 are vulnerable a session hijack vulnerability that leads to remote code execution as the zammad user. The bug is also present in version 7.0.0 to version 7.1.2, but not exploitable due to changes in the underlying framework.

    zammad zammad
    KEV Oct 2, 2026
  • Critical 9.4
    CVE-2026-102490 Exploited EPSS 11%

    Local privilege escalation in Zammad v1.5.0 to v7.2.2 installed via DEB or RPM package

    Zammad packages built with packager.io (DEB and RPM) could have allowed a local attacker who already had file system write privileges as the unprivileged zammad service account to escalate to full root privileges on the host. Service processes began running a…

    zammad zammad
    KEV Oct 2, 2026

Revision history

  1. #1.0.0

    Initiele versie

References

  • Reference
    https://csirt.divd.nl/DIVD-2026-00015