Trusted Design

解説:

CVE-2026-102489に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

Zammadのバージョン6.3.0から6.5.4において、セッションフィクセーションの脆弱性が存在し、zammadユーザーとしてリモートでコードが実行される可能性があります。この脆弱性はCWE-269（不適切な認証またはセッション固定）に関連しています。

1.1 影響

• zammadユーザーとしてのリモートコード実行（RCE）の可能性。
• この脆弱性は、特権昇格の脆弱性であるCVE-2026-102490と組み合わせることで、root権限への昇格につながる可能性があります。
• CISAの既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities Catalog）に登録されており、活発に悪用されていることが示唆されています。

1.2 深刻度

• CVSS-BT v4.0スコア: 9.4 CRITICALと評価されています。
• 「critical-severity（危機的な深刻度）」と説明されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

不明

2.2 影響を受ける設定

• 影響を受けるソフトウェア: Zammad
• 影響を受けるバージョン:
  • Zammadバージョン 6.3.0 から 6.5.4
  • Zammadバージョン 7.0.0 から 7.1.3 にも脆弱性は存在するものの、環境条件により悪用は不可能とされています。

3. 影響を受けた時の兆候

不明

4. 推奨対策

4.1 本対策

• Zammadのベンダーから提供されるセキュリティアップデートを適用してください。CVE-2026-102489に関する修正がリリースされている可能性が高いです。
• CISAのBOD 26-04（拘束力のある運用指令）のガイダンスに従い、緩和策が利用できない場合は製品の使用を中止することを検討してください。

4.2 暫定回避策（緩和策）

不明

参照したサイト

• CISA: Known Exploited Vulnerabilities Catalog
• Strix: CVE-2026-102489: Zammad Vulnerability (CVSS 9.4) — Fix & Details
• NVD: CVE-2026-102489
• CVE Record: CVE-2026-102489
• The window is gone: Machine-speed exploitation via CVE-2026...: The window is gone: Machine-speed exploitation via CVE-2026...

他に解説すべき観点

• 関連CVE: この脆弱性は、Zammadにおける不適切な特権管理の脆弱性であるCVE-2026-102490と連携して悪用される可能性があります。CVE-2026-102490は、ローカルのzammadユーザーがrootへの特権を昇格させることを可能にします。
• CISA Known Exploited Vulnerabilities Catalogへの登録: CVE-2026-102489は、CISAのKnown Exploited Vulnerabilities Catalogに登録されており、これは連邦政府機関に対して特定の期限までにこの脆弱性を修正することを義務付けるものです。この事実は、実際の攻撃で悪用されている可能性が高いことを示しています。
• 公開日: NVD（National Vulnerability Database）における公開日は2026年9月30日であり、最終更新日は2026年10月2日と非常に新しい情報です。