--- title: "Zammad の 2 件の欠陥が組み合わせて使える、KEV に追加（CVE-2026-102489・102490）" url: https://n-t-p.io/worldsecurity/articles/zammad-privesc-chain lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年10月30日 updated: 2026年10月30日 severity: 緊急 cve: CVE-2026-102489, CVE-2026-102490 --- # Zammad の 2 件の欠陥が組み合わせて使える、KEV に追加（CVE-2026-102489・102490） > **TL;DR:** 米 CISA は 2026-10-02、ヘルプデスク製品 Zammad の欠陥 2 件（CVE-2026-102489・102490）を KEV に追加した。ログイン状態の乗っ取りと、管理者（root）権限への昇格が組み合わせて使える。 **要点** - Zammad の 2 件（セッション固定＋root への権限昇格）が組み合わせて使える - KEV 追加は 2026-10-02。CVSS は最大 9.4（緊急） - 最新リリースへ更新し、サーバー上の不審な変更を確認する ヘルプデスク製品 Zammad に、ログイン状態を乗っ取られる欠陥と、管理者（root）権限に上がれる欠陥が見つかり、悪用が確認されました。2 件は組み合わせて使えると KEV に書かれています。 KEV とは、米国の CISA が「実際に悪用された」と確認した脆弱性の一覧です。 ## 何が問題か ### CVE-2026-102489: セッション固定 セッション固定と呼ばれる欠陥です。これを突くと、Zammad を動かしているアカウント（zammad ユーザー）としてリモートコード実行につながります。 分類（CWE）: CWE-384 ### CVE-2026-102490: 権限の管理が不適切な欠陥（権限昇格） サーバー上の zammad ユーザーが、管理者（root）権限に昇格できる欠陥です。Zammad のコミュニティでも、実際に悪用されていると報告されています。 分類（CWE）: CWE-269 ## 数値で見る | CVE | KEV 追加日 | 対応期限 | CVSS | EPSS | |---|---|---|---|---| | CVE-2026-102489 | 2026-10-02 | 2026-10-05 | 9.4（緊急・v4.0） | 2.0%（百分位 80.2） | | CVE-2026-102490 | 2026-10-02 | 2026-10-05 | 9.4（緊急・v4.0） | 0.9%（百分位 58.2） | ランサムウェア攻撃での悪用: KEV では「不明」です（「なかった」という意味ではありません）。 CVSS は深刻度を 0〜10 の点数にしたものです（NVD の掲載値）。EPSS は「今後 30 日以内に悪用が観測される確率」の推定で、2026-10-27 時点の値です（FIRST 調べ。日々変わります）。 KEV に載った脆弱性は「すでに悪用された」ものです。表の「対応期限」は米国の連邦機関に課される期限で、民間企業に義務はありませんが、優先度を決める目安になります。 ## 誰が気をつけるか Zammad を自社運用している組織（セルフホスト）。 ## 今やること 1. 自社の資産一覧で、対象の製品とバージョンを使っているか確認します（委託先や別拠点の運用分も含めます）。 2. 対象なら、出典のベンダー情報に従って、修正版への更新または緩和策を行います。KEV が示す対応は「ベンダーの手順に従った緩和策の適用」です。 3. Zammad の最新リリースの案内（出典のリンク）に従い、更新します。 4. サーバー上の不審なプロセス・追加された管理者アカウントを確認します。 5. CISA はこの欠陥について、フォレンジックトリアージ（被害の痕跡を調べる初動調査）を求めています。更新の前に、ログと設定のコピーを残し、侵入された形跡がないかを確認します。 6. 対応期限（2026-10-05）はすでに過ぎています。未対応なら、今日のうちに着手してください。 ## 用語メモ - **KEV**: 米国の CISA（サイバーセキュリティ・社会基盤安全保障庁）が「実際に悪用された」と確認した脆弱性の一覧。 - **セッション固定**: ログイン状態を表す ID を攻撃者があらかじめ決めておき、利用者のログインに「相乗り」する攻撃。 - **権限昇格**: 弱い権限のアカウントから、管理者（root など）の権限に上がること。 - **連鎖**: 複数の欠陥を組み合わせて使えること。1 件ずつは軽くても、組むと被害が大きくなる。 - **フォレンジックトリアージ**: 被害の痕跡があるかを素早く調べ、証拠を集める初動調査。 ## 出典 - CISA Known Exploited Vulnerabilities Catalog（JSON。版 2026.10.29 で再確認）（2026-10-30 確認） — https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json - CVE-2026-102489 のベンダー公式案内 — https://zammad.com/en/product/releases/ - CVE-2026-102489 のベンダー公式案内 — https://community.zammad.org/t/take-care-local-privilege-escalation-cve-2026-102490-is-reported-as-being-actively-exploited/21297/2 - NVD CVE-2026-102489（2026-10-28 確認） — https://nvd.nist.gov/vuln/detail/CVE-2026-102489 - NVD CVE-2026-102490（2026-10-28 確認） — https://nvd.nist.gov/vuln/detail/CVE-2026-102490 - FIRST EPSS API（2026-10-28 確認） — https://api.first.org/data/v1/epss ## 出典 - [CISA Known Exploited Vulnerabilities Catalog（JSON。版 2026.10.29 で再確認）](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json) — CISA - [CVE-2026-102489 のベンダー公式案内](https://zammad.com/en/product/releases/) — ベンダー - [CVE-2026-102489 のベンダー公式案内](https://community.zammad.org/t/take-care-local-privilege-escalation-cve-2026-102490-is-reported-as-being-actively-exploited/21297/2) — ベンダー - [NVD CVE-2026-102489](https://nvd.nist.gov/vuln/detail/CVE-2026-102489) — NIST NVD - [NVD CVE-2026-102490](https://nvd.nist.gov/vuln/detail/CVE-2026-102490) — NIST NVD - [FIRST EPSS API](https://api.first.org/data/v1/epss) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/zammad-privesc-chain