Zammad の zammad ユーザーから root へ権限昇格（KEV・修正版未公開）

Critical（CVSS 9.8）に分類されるZammad GmbH Zammad 1.5.0〜7.1.0-alpha（NVD の CPE。DIVD は「最新の alpha を含む全版」とする）の脆弱性です。ヘルプデスク／チケット管理システム Zammad で、**サーバ上の zammad ユーザーが root へ権限を昇格できる**欠陥（CWE-269）。NVD の記述は「最新の alpha を含む全ての Zammad で、ローカルの zammad ユーザーが root へ昇格できる」で、CPE は 1.5.0 以上 7.1.0 未満と 7.1.0-alpha。単独ではリモートから悪用できず、Zammad も公式声明で「攻撃者はすでにサーバへのアクセスを持っている必要がある」としている。 **すでに悪用されている。** DIVD は 2026年9月21日に自組織が受けた侵害で、セッション固定の欠陥 CVE-2026-102489 で zammad ユーザーとしてコードを実行され、続けてこの欠陥で root を取られたことを確認した。CISA は 2026年10月2日に両方を KEV へ収載し、**是正期限を 2026年10月5日**とした。KEV 上のランサムウェア利用は Unknown（不明）。 **修正版はまだ出ていない。** Zammad は 2026年10月1日のコミュニティ投稿で、DIVD から技術的な詳細を受け取って修正に着手したとしている。2026年10月3日時点で Zammad の GitHub Security Advisories にこの CVE の記載は無い。CVSS は NVD が 3.1 で 9.8 Critical（AV:N）を付けているが、DIVD の評価は単体で CVSS 4.0 の 8.5（AV:L/PR:L）、CVE-2026-102489 との連鎖シナリオで 9.4。本サイトの掲載値は NVD の 9.8 を採っている。

**修正版が出るまでは、root への入口になる「zammad ユーザーでのコード実行」を塞ぐ。** 実際の攻撃は CVE-2026-102489 から始まっているので、まず Zammad を 7.2.0 以上へ更新する（Zammad 自身もこの欠陥の告知で 7.2.0 への更新を求めている）。あわせて、Zammad の管理画面とサーバへの到達元を必要な範囲に絞り、Zammad を動かしているホストに他の利用者がログインできないようにする。 **修正の公開を追う。** Zammad は修正版を GitHub Security Advisories で告知するとしている。KEV の是正期限（2026年10月5日）までに修正版が出ない場合、CISA の要求アクションは「緩和策が無い場合は使用を停止する」ことである。インターネットに公開する必要が無い環境は、修正版が出るまで公開をやめるのが確実な緩和になる。 **侵害の有無を確認する。** 6.3〜6.5.4 を公開していた環境は、zammad ユーザー経由で root まで取られている可能性がある。DIVD の事案ページの痕跡確認スクリプトでログを点検し、痕跡があればホストを再構築する（root を取られたホストは更新では元に戻らない）。 **完了条件**は、（1）Zammad が 7.2.0 以上で到達元が絞られていること、（2）修正版が出たら速やかに適用すること、（3）6.3〜6.5.4 を公開していた期間の痕跡点検を終えていること、の3点である。

Zammad GmbH Zammad 1.5.0〜7.1.0-alpha（NVD の CPE。DIVD は「最新の alpha を含む全版」とする） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-102490）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/05 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。