Twee zeroday‑lekken in Zammad: van afstand overnemen tot root-toegang

In het ticketsysteem Zammad zijn twee ernstige zeroday‑kwetsbaarheden aangetroffen. Onder de aanduidingen CVE-2026-102489 en CVE-2026-102490 kunnen aanvallers respectievelijk op afstand willekeurige code uitvoeren en met lage rechten toch rootrechten bemachtigen. De eerste kwetsbaarheid treft Zammad 6.3.0 tot en met 6.5.4. De tweede is breder en raakt alle gangbare versies. Volgens actuele meldingen worden de lekken in elk geval sinds 21 september 2026 actief uitgebuit om systemen volledig over te nemen.

Wat staat er op het spel

• Ongeauthenticeerde overname: via het RCE-lek kan een aanvaller zonder inloggegevens code uitvoeren in de context van de Zammad‑applicatie. Dat opent de deur naar datadiefstal, het aanmaken van achterdeuren en laterale beweging binnen het netwerk.
• Van ‘low’ naar root: het tweede lek maakt privilege‑escalatie mogelijk. Iemand met minimale toegang kan zo rootrechten verkrijgen op de host waar Zammad draait — met alle gevolgen van dien voor logging, configuraties en onderliggende services.

Context: Zammad patcht volop in 2026

• In april bracht Zammad al beveiligingsupdates uit voor de 7.0‑ en 6.5‑tak (7.0.1 en 6.5.4). SaaS‑klanten werden daarbij automatisch beschermd; zelf‑hosters moesten direct updaten. (zammad.com)
• De leverancier verplaatste zijn security‑advisories naar GitHub. Het officiële archief verwijst sinds 2026 naar die route voor de meest recente technische details. (zammad.com)
• De afgelopen maanden zijn meerdere ernstige issues in Zammad opgelost, waaronder een authenticatie‑omzeiling rond SSO/automatisch account‑linken (van invloed op versies vóór 7.1.2) en onjuiste privilege‑afhandeling die tot volledige instance‑overname kon leiden. Zulke fouten illustreren hoe snel misbruik kan escaleren zodra een aanvaller binnen is. (ionix.io)
• Op 23 september 2026 verscheen Zammad 7.2 met nadruk op security en beheer; in augustus kwam al de belangrijke security‑update 7.1.3 uit. Deze releases onderstrepen dat actueel patchen essentieel is. (zammad.com)
• Ook publieke CERT‑meldingen bevestigen dat er in september nieuwe Zammad‑kwetsbaarheden zijn verholpen (waaronder een set met hoge en kritieke ernst), met het dringende advies om snel te updaten. (csirt.regione.toscana.it)

Wie loopt risico

• Vooral zelf‑gehoste installaties die direct aan het internet hangen of achter generieke reverse proxies zonder extra filtering.
• Organisaties die vasthouden aan 6.5.x zonder de backported fixes (tot en met 6.5.4) of die niet tijdig naar 7.1.x/7.2 zijn gegaan. (zammad.com)

Wat je nu kunt doen

• Patchen, liefst vandaag nog: update naar de nieuwste onderhoudsrelease in jouw hoofdversie (bij voorkeur 7.2 of minimaal 7.1.3; op 6.5.x ten minste 6.5.4). Plan een versiesprong als je op een end‑of‑life lijn zit. (zammad.com)
• Beperk blootstelling: zet Zammad niet rechtstreeks open naar het internet; sta toegang alleen toe via VPN of zero‑trust proxy met mTLS en IP‑allowlists.
• Harden SSO: schakel waar mogelijk “auto‑link” van externe identiteiten uit of dwing identity‑validatie af; zet 2FA aan voor beheerders. Recente issues lieten zien dat SSO‑koppelingen extra aandacht verdienen. (ionix.io)
• Controleer logboeken:
  • Onverklaarde admin‑promoties of nieuwe API‑tokens.
  • Ongebruikelijke aanroepen naar beheer‑ en import‑endpoints of massale downloads van ticketbijlagen.
  • Processen die buiten Zammad om met verhoogde rechten draaien.
• Incidentrespons: ga bij indicaties van misbruik uit van volledige compromittering. Isoleer de server, draai schone rebuilds met bijgewerkte software, roteer alle geheimen (SMTP‑ en OAuth‑sleutels, webhooks, SSO‑trusts) en voer een forensische analyse uit.

Waarom snel handelen loont
Zammad wordt breed ingezet als schakel tussen mail, chat en interne tooling. Een succesvolle aanval levert daarom vaak méér op dan alleen tickets: denk aan klantgegevens, inlogtokens en integraties met andere bedrijfsprocessen. Het tempo van nieuwe advisories en fixes in 2026 is hoog; organisaties die structureel achterlopen op updates nemen onnodig risico. (zammad.com)

Samengevat

• Twee zeroday‑lekken in Zammad maken zowel ongeauthenticeerde RCE (6.3.0 t/m 6.5.4) als privilege‑escalatie naar root mogelijk en worden sinds 21 september 2026 actief misbruikt.
• Update onmiddellijk naar de nieuwste beveiligde release, beperk netwerktoegang en controleer je logs.
• Volg de security‑advisories van Zammad op GitHub en installeer toekomstige fixes zonder uitstel. (zammad.com)

Bronnen voor verdere details en updates

• Zammad releases en security‑updates (incl. 7.2, 7.1.3, 7.0.1/6.5.4). (zammad.com)
• Security‑advisories verplaatst naar GitHub (vendor‑kanaal). (zammad.com)
• Recente kwetsbaarheden met hoge/critieke impact (o.a. SSO‑bypass, privilege‑afhandeling). (ionix.io)
• CERT/CIRT‑alert met updateadvies (28 september 2026). (csirt.regione.toscana.it)

Let op: implementeer patches eerst in een testomgeving waar dat kan, maar wacht niet te lang — het risico op actieve uitbuiting is reëel en de impact potentieel maximaal.

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.