情報取得日: 2026/10/02／最終確認: 2026/10/09・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-102490 |
|---|---|
| 製品 | Zammad GmbH / Zammad の DEB / RPM パッケージ（packager.io）7.2.1 以下（ソース導入と公式コンテナイメージは対象外） |
| CVSS | 7.8（High） CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-269 不適切な権限管理 |
| 登録／公開日 | 2026/10/02 |
| KEV 期限 | 2026/10/05 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-102490 |
ヘルプデスク／チケット管理システム Zammad で、**サーバ上の zammad ユーザーが root へ権限を昇格できる**欠陥（CWE-269）。掲載当初の NVD の記述は「最新の alpha を含む全ての Zammad」が対象としていたが、2026年10月8日のベンダー告知で対象は DEB / RPM パッケージ版に絞られた（後述）。単独ではリモートから悪用できず、Zammad も公式声明で「攻撃者はすでにサーバへのアクセスを持っている必要がある」としている。 **すでに悪用されている。** DIVD は 2026年9月21日に自組織が受けた侵害で、セッション固定の欠陥 CVE-2026-102489 で zammad ユーザーとしてコードを実行され、続けてこの欠陥で root を取られたことを確認した。CISA は 2026年10月2日に両方を KEV へ収載し、**是正期限を 2026年10月5日**とした。KEV 上のランサムウェア利用は Unknown（不明）。 **2026年10月8日に修正版 7.2.2 が出た。** Zammad の GitHub Security Advisory GHSA-p97w-927q-8vxq（2026年10月8日公開）によると、原因は packager.io でビルドした DEB / RPM パッケージにあり、サービスのプロセスが root で起動したあと、zammad アカウントが所有・書き込みできるファイルを実行してから権限を落としていた。インストール先のディレクトリも zammad アカウントが書き込めた。サービスは停止すると自動で再起動されるため、足場を持つ攻撃者は管理者の操作なしに数秒で root を取れた。対象は 7.2.1 以下の全てのパッケージ版で、**ソースからの導入と公式コンテナイメージは対象外**。NVD の記述もこの内容に更新された（2026年10月8日）。 CVSS は、NVD が当初 3.1 で 9.8 Critical（AV:N）を付けていたが、2026年10月9日の再分析で **7.8 High**（CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）に改めた。攻撃元はローカル（AV:L）、必要な権限は Low（PR:L）で、単独ではリモートから悪用できないという前段の説明と合う評価である。DIVD の評価は単体で CVSS 4.0 の 8.5（AV:L/PR:L）、CVE-2026-102489 との連鎖シナリオで 9.4。本サイトの掲載値は NVD の 7.8 を採っている。点数は下がったが、KEV 収載（悪用確認済み）であることは変わらない。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 上で DEB / RPM パッケージから導入した Zammad を 7.2.2 以上へ更新する。ECS / EKS で公式コンテナイメージを使っている場合はこの CVE の対象外だが、CVE-2026-102489 対策として 7.2.0 以上にする。
AWS 側の修正ではなく Zammad 本体の更新が対処。セキュリティグループで到達元を絞る。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine 上で DEB / RPM パッケージから導入した Zammad を 7.2.2 以上へ更新する。GKE で公式コンテナイメージを使っている場合はこの CVE の対象外。
GCP 側にパッチは無い。Zammad 本体の更新が対処。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM 上で DEB / RPM パッケージから導入した Zammad を 7.2.2 以上へ更新する。AKS で公式コンテナイメージを使っている場合はこの CVE の対象外。
Azure 側の修正ではなく Zammad 本体の更新が対処。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
packager.io の DEB / RPM パッケージで導入した Zammad を 7.2.2 以上へ更新する（apt / yum / zypper で Zammad のリポジトリから更新）。
ソースからの導入と公式コンテナイメージは対象外（GHSA-p97w-927q-8vxq）。DIVD は当初 Docker も対象としていたが、ベンダーの告知では対象外とされている。
参照リンク
|
**DEB / RPM パッケージで導入した Zammad を 7.2.2 以上へ更新する。** Zammad の GHSA-p97w-927q-8vxq（2026年10月8日）は修正版を 7.2.2 とし、回避策は示していない。ソースから導入した環境と公式コンテナイメージはこの CVE の対象外だが、入口になった CVE-2026-102489 への対処として 7.2.0 以上へ更新しておく必要があるのは同じである。 **KEV の是正期限（2026年10月5日）は修正版の公開前に過ぎている。** 修正版が出たので、パッケージ版を使っている環境は速やかに 7.2.2 を適用する。インターネットに公開する必要の無い Zammad は、到達元を必要な範囲に絞り、Zammad を動かすホストに他の利用者がログインできないようにしておく。 **侵害の有無を確認する。** 6.3〜6.5.4 を公開していた環境は、zammad ユーザー経由で root まで取られている可能性がある。DIVD の事案ページの痕跡確認スクリプトでログを点検し、痕跡があればホストを再構築する（root を取られたホストは更新では元に戻らない）。 **完了条件**は、（1）DEB / RPM 版の Zammad が 7.2.2 以上であること、（2）到達元が絞られていること、（3）6.3〜6.5.4 を公開していた期間の痕跡点検を終えていること、の3点である。
High（CVSS 7.8）に分類されるZammad GmbH Zammad の DEB / RPM パッケージ（packager.io）7.2.1 以下（ソース導入と公式コンテナイメージは対象外）の脆弱性です。ヘルプデスク／チケット管理システム Zammad で、**サーバ上の zammad ユーザーが root へ権限を昇格できる**欠陥（CWE-269）。掲載当初の NVD の記述は「最新の alpha を含む全ての Zammad」が対象としていたが、2026年10月8日のベンダー告知で対象は DEB / RPM パッケージ版に絞られた（後述）。単独ではリモートから悪用できず、Zammad も公式声明で「攻撃者はすでにサーバへのアクセスを持っている必要がある」としている。 **すでに悪用されている。** DIVD は 2026年9月21日に自組織が受けた侵害で、セッション固定の欠陥 CVE-2026-102489 で zammad ユーザーとしてコードを実行され、続けてこの欠陥で root を取られたことを確認した。CISA は 2026年10月2日に両方を KEV へ収載し、**是正期限を 2026年10月5日**とした。KEV 上のランサムウェア利用は Unknown（不明）。 **2026年10月8日に修正版 7.2.2 が出た。** Zammad の GitHub Security Advisory GHSA-p97w-927q-8vxq（2026年10月8日公開）によると、原因は packager.io でビルドした DEB / RPM パッケージにあり、サービスのプロセスが root で起動したあと、zammad アカウントが所有・書き込みできるファイルを実行してから権限を落としていた。インストール先のディレクトリも zammad アカウントが書き込めた。サービスは停止すると自動で再起動されるため、足場を持つ攻撃者は管理者の操作なしに数秒で root を取れた。対象は 7.2.1 以下の全てのパッケージ版で、**ソースからの導入と公式コンテナイメージは対象外**。NVD の記述もこの内容に更新された（2026年10月8日）。 CVSS は、NVD が当初 3.1 で 9.8 Critical（AV:N）を付けていたが、2026年10月9日の再分析で **7.8 High**（CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）に改めた。攻撃元はローカル（AV:L）、必要な権限は Low（PR:L）で、単独ではリモートから悪用できないという前段の説明と合う評価である。DIVD の評価は単体で CVSS 4.0 の 8.5（AV:L/PR:L）、CVE-2026-102489 との連鎖シナリオで 9.4。本サイトの掲載値は NVD の 7.8 を採っている。点数は下がったが、KEV 収載（悪用確認済み）であることは変わらない。
**DEB / RPM パッケージで導入した Zammad を 7.2.2 以上へ更新する。** Zammad の GHSA-p97w-927q-8vxq（2026年10月8日）は修正版を 7.2.2 とし、回避策は示していない。ソースから導入した環境と公式コンテナイメージはこの CVE の対象外だが、入口になった CVE-2026-102489 への対処として 7.2.0 以上へ更新しておく必要があるのは同じである。 **KEV の是正期限（2026年10月5日）は修正版の公開前に過ぎている。** 修正版が出たので、パッケージ版を使っている環境は速やかに 7.2.2 を適用する。インターネットに公開する必要の無い Zammad は、到達元を必要な範囲に絞り、Zammad を動かすホストに他の利用者がログインできないようにしておく。 **侵害の有無を確認する。** 6.3〜6.5.4 を公開していた環境は、zammad ユーザー経由で root まで取られている可能性がある。DIVD の事案ページの痕跡確認スクリプトでログを点検し、痕跡があればホストを再構築する（root を取られたホストは更新では元に戻らない）。 **完了条件**は、（1）DEB / RPM 版の Zammad が 7.2.2 以上であること、（2）到達元が絞られていること、（3）6.3〜6.5.4 を公開していた期間の痕跡点検を終えていること、の3点である。
Zammad GmbH Zammad の DEB / RPM パッケージ（packager.io）7.2.1 以下（ソース導入と公式コンテナイメージは対象外） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-102490）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/05 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。
掲載後に NVD・CISA KEV 側で確定した変化を、日次の自動突合で記録したものです（新しい順）。掲載前の変化は記録がないため含みません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/10/09）。