Zammad 6.3〜6.5.4 のセッション固定で未認証RCE（KEV・是正期限 2026-10-05）

Critical（CVSS 9.8）に分類されるZammad GmbH Zammad 6.3.0〜6.5.4（7.0.0〜7.1.3 にもコードは残るが実行環境の条件で悪用不可）の脆弱性です。オープンソースのヘルプデスク／チケット管理システム Zammad に、セッション固定（CWE-384）の欠陥があり、**認証されていない攻撃者がセッションを乗っ取り、zammad ユーザーの権限でリモートからコードを実行できる**。NVD の記述では対象は Zammad 6.3.0〜6.5.4 で、7.0.0〜7.1.3 にも同じ欠陥はあるが「実行環境の条件により悪用できない」とされている。Zammad もコミュニティでの公式声明（2026年10月1日）で、悪用できるのは 6.5 以前に限られるとしている。 **すでに悪用されている。** 発見したオランダの DIVD（Dutch Institute for Vulnerability Disclosure）は、2026年9月21日に自組織の Zammad がこの欠陥で侵害されたことを調査の過程で突き止め、9月24日に Zammad へ報告、9月30日に公開した。攻撃では、同時に公開された権限昇格の欠陥 CVE-2026-102490 と組み合わせて root まで取られている。CISA は 2026年10月2日に両方を KEV へ収載し、**是正期限を 2026年10月5日**とした。KEV 上のランサムウェア利用は Unknown（不明）。 CVSS 3.1 は NVD の評価で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H・vulnStatus は Analyzed）。DIVD は単体で CVSS 4.0 の 8.7、CVE-2026-102490 との連鎖シナリオで 9.4 としている。

**Zammad 7.2.0 以上へ更新する。** Zammad は 7.2.0（現行の安定版・2026年9月23日タグ）にこの欠陥のハードニングを入れたとしており、DIVD も 7.2.0 以降を対象外としている。6.x 系で止まっている環境は、6.x 系の中での修正版は確認できていないので、7.2.0 への移行が対処になる。KEV の是正期限は **2026年10月5日** と短い。 **連鎖を前提に点検する。** この欠陥で zammad ユーザーとしてコードを実行された後、CVE-2026-102490 で root へ昇格する経路が実際に使われている。CVE-2026-102490 には 2026年10月3日時点で修正版が無いので、6.3〜6.5.4 をインターネットに公開していた環境は、**更新だけで終わらせず侵害の有無を確認する**。DIVD は事案ページで、この欠陥の痕跡をログから確認するスクリプトを公開している。痕跡があれば、ホストの再構築と、Zammad に保存していた認証情報・連携トークンの入れ替えを検討する。 **完了条件**は、（1）全ての Zammad が 7.2.0 以上であること、（2）6.3〜6.5.4 を公開していた期間について痕跡の点検を終えていること、の2点である。

Zammad GmbH Zammad 6.3.0〜6.5.4（7.0.0〜7.1.3 にもコードは残るが実行環境の条件で悪用不可） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-102489）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/05 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。