Trusted Design

CVE-2026-102490 の詳細

CVEの情報

説明:
All versions of Zammad including the latest alpha enable the local zammad user to escalate privileges to root.

CVE更新日: 2026-09-30 17:16:40.707000

CVSSバージョン: 4.0

CVSSスコア: 9.4

KEVの情報

KEV更新日: 2026-10-02

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.005500000

EPSS更新日: 2026-10-15 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: low

Automatable: False

AIを使った解説

解説:

CVE-2026-102490は、オープンソースのヘルプデスクおよびチケット管理システムであるZammadにおける権限昇格の脆弱性です。この脆弱性は、ローカルの zammad ユーザーがroot権限に昇格することを可能にします。

1. 脆弱性の概要

CVE-2026-102490は、Zammadに存在する不適切な権限管理（Improper Privilege Management）の脆弱性です。この脆弱性により、ローカルの zammad ユーザーはroot権限に昇格することが可能になります。この脆弱性は、CVE-2026-102489（セッション固定化の脆弱性により、zammad ユーザーとしてリモートコード実行が可能になる）と連鎖して悪用されることが多く、完全なシステム侵害につながる可能性があります。

1.1 影響

この脆弱性が悪用されると、ローカルの zammad ユーザーがroot権限を獲得します。これにより、攻撃者は特権操作を実行できるようになり、システムファイルの変更、ソフトウェアのインストール、またはホストシステムの他の部分へのアクセスが可能になります。CVE-2026-102489と組み合わせた攻撃では、セッションのハイジャック、リモートでのコード実行、そして数秒でのroot権限昇格が可能です。実際にオランダ脆弱性情報開示機関（DIVD）への攻撃では、ボランティアのメールアドレスを含むユーザーデータの漏洩につながりました。

1.2 深刻度

  • CVSS 4.0 基本スコア: 9.4 (緊急/CRITICAL)
  • CVSS 3.1 基本スコア: 7.8 (高/High)
  • CVSS 2.0 基本スコア: 7.2 (高/High)

米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は、この脆弱性を既知の悪用されている脆弱性（Known Exploited Vulnerabilities: KEV）カタログに追加しており、実際に活発な悪用が確認されていることから、重大なリスクがあると判断されています。

2. 対象となる環境

2.1 影響を受ける製品

Zammad (オープンソースのヘルプデスクおよびチケット管理システム)

2.2 影響を受けるOSバージョン

OSバージョンに関する直接的な記載はありませんが、Zammadが動作するすべてのOS環境に影響を及ぼす可能性があります。

2.3 影響を受ける設定

Zammadのすべてのバージョン（最新のアルファ版を含む）がこの脆弱性の影響を受けます。具体的には、Zammad v1.5.0からv7.1.0-alphaまでのバージョンが脆弱であるとされています。

3. 影響を受けた時の兆候

影響を受けた場合の兆候としては、以下のようなものが考えられます。

  • 許可されていない特権操作の実行、システムファイルの変更、不正なソフトウェアのインストール、またはホストシステムの機密領域へのアクセス。
  • Zammadまたは基盤となるシステムにおける予期せぬ動作や不正な変更。
  • オランダ脆弱性情報開示機関（DIVD）の侵害事例では、AIエージェントによる攻撃は「騒々しく、非常に乱雑な」実行を残し、パスワードスプレーによって自身の操作を妨害する挙動が観測されたと報告されています。
  • ユーザーデータ（メールアドレスや連絡先など）の漏洩の形跡。

4. 推奨対策

4.1 本対策

  • ベンダーの指示に従い、緩和策を適用する。
  • Zammadをバージョン7にアップグレードするか、オフラインにする。ただし、Zammad 7.0.0から7.1.3では、CVE-2026-102489の悪用は環境条件により不可能ですが、CVE-2026-102490自体は引き続きすべてのバージョンに影響を与えるため、ベンダーからの最新の修正パッチの適用が不可欠です。
  • CISAのKnown Exploited Vulnerabilities (KEV) カタログに掲載されているため、CISAはすべての組織に対し、リスクベースの脆弱性管理を採用し、KEVカタログに記載されている脆弱性の修正を優先するよう推奨しています。

4.2 暫定回避策（緩和策）

  • 緩和策が利用できない場合は、製品の使用を中止するか、Zammadをオフラインにすることを検討してください。
  • CISAのBinding Operational Directive (BOD) 26-04では、パッチ適用前にシステムが侵害されていないかを確認するための基本的な要件が確立されています。

他に解説すべき観点

  • この脆弱性は、CVE-2026-102489（セッション固定化の脆弱性により、zammad ユーザーとしてリモートコード実行が可能になる）と連携して悪用されることが多いです。この組み合わせにより、攻撃者はセッションをハイジャックし、リモートでコードを実行し、数秒でZammadユーザーからrootへの権限昇格を達成できます。
  • 実際にオランダ脆弱性情報開示機関（DIVD）への攻撃では、自律型AIエージェントがこの2つのゼロデイ脆弱性を利用して侵害を行ったことが報告されています。
  • 関連するCWE識別子として、CWE-269 (Improper Privilege Management: 不適切な権限管理) が挙げられています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る