【緊急】Zammad CVE-2026-102490：悪用が確認されたroot昇格は10/8に7.2.2で修正 — DEB/RPM版は更新、6.5以前は即更新し、サーバーへの接続を絞る

オープンソースのヘルプデスク Zammad に、悪用が確認された2件の脆弱性があります。セッションを乗っ取ってZammadユーザー権限でコードを実行する CVE-2026-102489 と、その権限からrootへ昇格する CVE-2026-102490 で、CISAは2026年10月2日に両方を既知の悪用された脆弱性（KEV）へ追加しました。
root昇格の CVE-2026-102490 は、Zammadが10月5日に出したアドバイザリの時点では修正版がありませんでしたが、10月8日の 7.2.2 で修正されました。
★【更新 2026年10月12日】10月6日の公開時点の「修正版がまだ無い」という記述を、10月8日に出た Zammad 7.2.2 とGitHubアドバイザリ（GHSA-p97w-927q-8vxq）に合わせて直しました。影響は packager.io で作られたDEB/RPMパッケージの 7.2.1 以前で、ソースからの導入と公式コンテナイメージは影響を受けません。SaaSの利用者は作業が要りません（Zammadのリリースページ）。

ただし、この件はベンダーと発見者の説明が食い違っています。Zammadは、CVE-2026-102489 は 6.5 以前でのみ悪用でき、7.0 以降は実質的に影響を受けないと書き、CVE-2026-102490 は単独では遠隔から悪用できず、攻撃者が先にサーバーへ入っている必要があると評価しています。また、スコアも割れています。NVD（NIST）は公開当初、両方をCVSS v3.1 の 9.8（ネットワーク越し・認証不要）としていました（10月11日の確認では、CVE-2026-102490 はv3.1 の 7.8（HIGH・ローカル）に改められ、CVE-2026-102489 は 9.8 のままです）。発見者のDIVDは、CVE-2026-102490 を単独ではv4.0 の 8.5（HIGH・ローカル）、CVE-2026-102489 と連鎖させた場合だけ9.4（CRITICAL）としています。この記事の数値表示は、CVE-2026-102490 単独の v4.0 8.5 で、DIVDの評価です。ZammadのGitHubアドバイザリも同じ v4.0 の 8.5 を付けています。食い違いは隠さずに分けて書きます。

今すぐ行う対策

• ✓まず自分の Zammad のバージョンを確認する。Zammadは、6.5 以前を使っているなら今すぐ更新するよう案内しています。6.5 以前はサポートが終わっていて、セキュリティ修正を受け取れません。
• ✓更新先は Zammad 7.2.2 以降。7.2.2（2026年10月8日公開）が CVE-2026-102490 の修正です。CVE-2026-102489 のコードの強化は 7.2.0 に入っています（2026年9月23日公開）。7.0 以降は実質的に影響を受けないとZammadは書いていますが、root昇格の修正は 7.2.2 からです。
• ✓サーバーへのアクセスを、信頼できる管理者だけに絞る。CVE-2026-102490 は、Zammadの評価では攻撃者がすでにサーバーへアクセスできることが前提です。SSH、管理者アカウント、同じサーバーで動く他のサービスの権限を点検してください。
• ✓DEB/RPMパッケージで入れているかを確認する。GitHubアドバイザリによると、CVE-2026-102490 の影響は packager.io で作られたDEB/RPMパッケージだけで、ソースからの導入と公式コンテナイメージは影響を受けません。導入方法が分からなければ、7.2.2 以降へ更新するのが確実です。
• ✓★6.5 以前を公開していた場合は、更新したあとも侵害の痕跡を調べる。更新で侵害は消えません。発見者のDIVDは、「Zammad 7 へ更新するか、オフラインにする」ことを全てのユーザーに勧めています（DIVDのケースページ）。
• ✓DIVDがログ確認用のスクリプトを公開しています。CVE-2026-102489 の痕跡（エラーログに混ざったセッション情報）を、`/var/log/zammad` と `/var/log/nginx` のログから探します。Zammadの手順ではなくDIVDのものです。当サイトで内容を読んだところ、`zgrep` でログを検索して表示するだけで、ファイルを書き換えたり外部へ送信したりする処理は見当たりませんでした。それでも、本番サーバーで実行する前に、自分で内容を読んでください。「痕跡なし」と出ても、DIVDは見慣れないプロセスやファイルなど、ほかの兆候も調べるよう書いています

何が起きたか（日付つき）

• ▸2026年8月：Zammadの声明によると、CVE-2026-102489 の報告をこの月に最初に受け、そのとき分析しています
• ▸2026年9月23日：Zammad 7.2.0 が公開されました。CVE-2026-102489 のコードの強化が入っています
• ▸9月21日：DIVD（オランダの脆弱性開示団体）の記録では、この日に自組織が、この脆弱性を悪用されて侵害されました（9月24日に侵害を公表）
• ▸9月24日：DIVDが Zammad へ報告しました
• ▸9月26日：DIVDが、公開されている Zammad のインスタンスをスキャンし、限定的な開示を行い、所有者への通知を始めました。Zammadは、詳細を受け取る前にCVEが公表され、悪用が公の場で議論されていることを問題視しています
• ▸9月29日：DIVDのCVEレコードの公開日です
• ▸9月30日：NVD に CVE-2026-102489 と CVE-2026-102490 が掲載されました。DIVDも、侵入に使われたのがZammadの2つのゼロデイの連鎖だと説明しました
• ▸10月1日：Zammadが声明を出し、同日中に DIVD から CVE-2026-102490 の技術詳細を受け取ったと書いています
• ▸★10月2日：CISAが両方をKEVへ追加しました。対処期限は10月5日です（米国の連邦機関向け）
• ▸10月5日：Zammadが正式なセキュリティアドバイザリを公開しました
• ▸10月8日：Zammadが 7.2.2 を公開し、GitHubセキュリティアドバイザリ（GHSA-p97w-927q-8vxq）で CVE-2026-102490 の影響版（7.2.1 以前）と修正版（7.2.2）を告知しました

2つの脆弱性の関係

• ▸CVE-2026-102489（セッション固定 → コード実行）：セッションを乗っ取り、Zammadユーザーの権限でコードを実行できる。NVDの記述は「6.3.0〜6.5.4は脆弱。7.0.0〜7.1.3にも存在するが、環境の条件により悪用できない」。DIVDのCVEレコードも、7.0.0 以降は影響なし（unaffected）と記録しています
• ▸CVE-2026-102490（ローカル権限昇格）：Zammadユーザーから root へ昇格できる。NVDの記述は「最新のアルファ版を含む全ての版」
• ▸この2つは連鎖します。CISAのKEVの説明も、それぞれが「もう一方と連鎖できる」と書いています。前者でサーバーに入り、後者でrootを取る流れです
• ▸だから、6.5以前では遠隔から root まで届く可能性があります。一方、7.0以降では、Zammadの評価では最初の入り口（CVE-2026-102489）が実質的に使えず、CVE-2026-102490 は「すでにサーバーに入っている相手」だけの問題になります

影響を受ける版：当初は出典で割れていたが、10月8日に整理された

CVE-2026-102490 の影響範囲は、10月8日より前は出典ごとに違っていました。当時確認した記述を、そのまま並べます（最後の項目が、10月8日の整理です）。

• ▸NVDの説明文：「最新のアルファ版を含む、Zammadの全ての版」
• ▸NVDの影響版の設定（CPE）：1.5.0 以上 7.1.0 未満と、7.1.0 のアルファ版
• ▸DIVDのCVEレコード：1.5.0 以上 7.1.0-alpha 未満（表題は「v1.5.0 から v7.1.0-alpha」、説明は「最新のアルファを含む全ての版」）
• ▸Zammad：「確認も影響版の特定もまだできない」（10月1日の声明）。10月5日のアドバイザリでは、「これは packager.io の確認済みの脆弱性に関連しており、解決策を準備している」
• ▸★10月8日のGitHubアドバイザリ（GHSA-p97w-927q-8vxq）で整理されました。影響は「packager.io で作られたDEB/RPMパッケージ」の 7.2.1 以前（公開済みのパッケージ版すべて）、修正版は 7.2.2 です。ソースからの導入と公式コンテナイメージは影響を受けないと書かれています。7.1.x や 7.2.0 も、DEB/RPMで入れているなら影響を受けます

悪用について、分かっていることと分からないこと

分かっていること。CISAが10月2日に両方をKEVへ追加しています（ランサムウェアでの使用は「Unknown」）。DIVDは、自組織への侵入に、この2つのゼロデイの連鎖を使われたと説明しています（DIVD-2026-00014。9月30日の声明）。DIVDは、手口からAIエージェントによる攻撃と評価していて、セッションの乗っ取り・コード実行・Zammadユーザーからrootへの昇格が数秒で進んだと書いています。ネットワークの分離と、検知後の対応で、それ以上は深く入られなかった一方、ボランティアのメールアドレスなどのデータが流出したと10月1日に公表しています。

分からないこと。Zammadの10月1日の声明は、CVE-2026-102490 について「悪用されていると報じるサイトがある」と書くにとどまり、Zammadの公式資料は、悪用を確認したとは書いていません。他の組織での被害の規模や、使われた手口の詳細は、確認できる資料がありません。

ベンダーとDIVDの見解の違い

Zammadは、開示の進め方に強い不満を述べています。声明によると、9月24日に報告を受け、2日後の26日には公開のスキャンと開示が行われ、詳細を受け取る前にCVEが公表されたため、管理者が行動に必要な情報を持てないとしています。Zammadはこれを「責任ある開示とは考えない」と書いています。
この記事は、どちらが正しいかを判断しません。読者に影響するのは、CISAが悪用された脆弱性として扱っていて、しかも修正版（7.2.2）が10月8日に出たという事実です。

確認できなかったこと

• ▸CVE-2026-102490 の悪用の詳細と、この脆弱性自体の痕跡（IoC）。DIVDのスクリプトが探すのは CVE-2026-102489 の痕跡で、root昇格（CVE-2026-102490）の痕跡を探す手順は、ZammadとDIVDのどちらの公開資料にも見当たりませんでした。他の組織での被害の規模も、確認できる資料がありません
• ▸CVSSの評価の割れ方。NVDは公開当初、両方を v3.1 の 9.8 としていましたが、10月11日の確認では CVE-2026-102490 をNIST自身が v3.1 の 7.8（HIGH・ローカル）に改めています。DIVDは、CVE-2026-102490 を単独では v4.0 の 8.5（HIGH・ローカル、低い権限が必要）、連鎖では 9.4（CRITICAL）とし、CVE-2026-102489 は単独で 8.7（HIGH）、連鎖で 9.4（CRITICAL）としています。Zammadは CVE-2026-102490 をローカルの脆弱性としています。この記事は、CVE-2026-102490 単独のDIVD評価（8.5）を表示しています
• ▸6.5 以前の全ての版で CVE-2026-102489 が悪用できるか。NVDは「6.3.0〜6.5.4」と書き、Zammadは「6.5 以前」と書いています
• ▸自分の環境が既に狙われたか。DIVDのスクリプトで探せるのはセッション情報の漏れだけです。不審なプロセスやファイル、管理者・APIトークンの変更などの確認は、当サイトの一般的な補足であって、Zammadの手順ではありません

共有するならこの3行

• ▸ヘルプデスク「Zammad」の脆弱性2件（CVE-2026-102489・CVE-2026-102490）が、連鎖で悪用された事案としてCISAのKEVに載った。root昇格の方は10月8日に修正版 7.2.2 が出た
• ▸★Zammad 6.5 以前を使っているなら今すぐ更新（サポート終了）。DEB/RPMで入れているなら 7.2.2 以降へ。7.x でも、サーバーへのアクセスは信頼できる管理者だけに絞る
• ▸修正の告知はZammadのGitHubのセキュリティアドバイザリにある。更新したあとも、サーバーの権限を点検しておく

根拠にしたページ