Zammad CVE-2026-102489／102490ゼロデイ連鎖でrootまで

概要

• オランダの脆弱性開示団体 DIVD は、2026-09-21 にネットワークへ侵入され、入口がオープンソース・ヘルプデスク Zammad の未公表2件の欠陥だったと公表した（ケース DIVD-2026-00014／00015）。
• DIVDとMerlon Securityの調査では、セッションを乗っ取って zammad としてコード実行する欠陥（CVE-2026-102489）と、そこから root へ上げる欠陥（CVE-2026-102490）が連鎖し、秒単位で特権を取られた。攻撃はスクリプトに「自分の行動を正当化するメモ」が残るなど、agentic AI による自動化だとDIVDは評価している。
• CISAは 2026-10-02、両CVEをKEVカタログに追加した。ランサムウェア利用は Unknown。Zammad側はバージョン解釈と開示の進め方でDIVDと見解が分かれる部分があるため、運用者は双方の告知を突き合わせて判断する必要がある。

この記事では、ベンダー・公的機関・研究者・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。

何が起きたか（時系列）

DIVDは、ネットワーク分割と検知後の遮断で深部への侵入は止めたが、侵入時点ですでに一部データが持ち出されたとしている。既知の脅威アクターとの紐付けは「なし」としつつ、最悪シナリオは排除していない。

技術的な問題点（根本原因）

事実（DIVD / CISA / Zammad）

• CVE-2026-102489: CISAは「Session Fixation Vulnerability」とし、zammad ユーザーとしてのリモートコード実行に至り得る、と要約。NCSC-NL等は未ログイン攻撃者による悪用が可能と報じている（DIVDのCVE記録ではCVSS解釈に報道差あり）。実装の詳細なパストラバーサル手順などは、公開ケースでは開示されていない。
• CVE-2026-102490: ローカルの zammad アカウントから root への Improper Privilege Management。単独ではサーバー上の実行権限が先に必要。DIVDは「ほぼすべてのバージョン（最新alpha含む）」に存在すると記載。Zammadは詳細受領後も「リモート単独では悪用不可」と強調。
• 連鎖: DIVDは「セッションハイジャック → リモート実行 → root昇格」が agentic な自動化により秒単位で進んだと述べる。CISAも両CVEを相互にチェーン可能と明記。

考察

ヘルプデスクはインターネットに露出しやすく、かつチケット・顧客連絡先・SSO連携など「他システムへの橋」になりやすい。認証境界の欠陥がサービスユーザー実行まで届き、さらにサービスユーザー→rootの局所昇格が残っていると、境界製品ゼロデイと同様に「パッチ前の公開面」がそのまま全域侵害になる。agentic AIの新規性は「未知のゼロデイを人間が書いた」ことより、侵入後の意思決定と横展開をスクリプトが自己正当化メモ付きで高速に回した点にある、というDIVDの読み方は防御側にも示唆がある（ノイズの多いログでも「説明口調のコメント」が逆に痕跡になる）。

攻撃・侵入経路

flowchart TD
    A[未認証またはセッション固定経路<br/>CVE-2026-102489] --> B[セッション乗っ取り]
    B --> C[zammadユーザーとしてRCE]
    C --> D[CVE-2026-102490<br/>ローカル権限昇格]
    D --> E[root]
    E --> F[他サービスへの到達<br/>データ持ち出し]
    F --> G[観測: ボランティアメール等の流出<br/>なりすましリスク]

事実（DIVD）

• 入口はCitrix NetScalerではなかった（Statement #3）。
• root取得後、他サービスへ到達しデータを持ち出した痕跡がある。ネットワーク分割とIRによりそれ以上の深掘りは阻止。
• 攻撃は「うるさく乱雑」で、エージェントが次の一手を自分で決め、過剰な正当化コメントを残したため、逆解析が容易だった。

公開資料からは、セッション固定の具体的なHTTP手順やLPEのバイナリパスは確認できない。再現手順の捏造はしない。

なぜ防げなかったか・構造的要因の考察

ここからは筆者の考察である。

1. サポート切れランタイムの露出: ベンダーは102489を「6.5以前・EoS」と位置づける。公開ヘルプデスクが古いメジャーのまま残ると、境界アプライアンスと同様にゼロデイの的になる。
2. 調整開示のタイムライン摩擦: DIVDは9/24報告→9/26スキャン・開示。Zammadは「詳細未提示のままCVEと悪用議論が先行し、管理者が動けない」と批判。防御側から見ると、公表とパッチ／検証のズレそのものが二次被害（焦った誤対応・偽情報）を生む。
3. ヘルプデスク＝信頼のハブ: チケットシステム侵害は、その後の「正規っぽい」連絡・パスワードリセット誘導・サプライチェーン的なりすましに直結する（DIVDがボランティアなりすましを警告した理由）。
4. agentic攻撃の運用面: 速度と乱雑さは検知しやすい一方、従来の「人間オペレータの休息」を前提にしたSOCのテンポを崩す。セグメンテーションが効いた事例としても読む価値がある。

運用者向けの具体的な対策と検知ポイント

対策

• Zammadを 7.2.0 以上へ更新する。6.xはサポート外として計画的に廃止する。
• インターネットからの管理・ユーザー面をVPNやIP制限の内側に置く。不要なら公開を止める。
• 更新前後でDIVDのログ確認スクリプトを走らせ、侵害の有無を確認する。疑わしければホスト再構築を前提にIRへ。
• チケット連携先（LDAP/SSO、メール、ファイル共有、クラウドAPIキー）の資格情報をローテーションする。

検知ポイント

• zammad / puma プロセスからのシェル起動、想定外の cron、sudo／setuid 関連の成功ログ（Sysdig等が同様の観点を整理）。
• 身に覚えのない管理者セッション、短時間での特権操作の連続。
• 外部への大規模なメール・添付の持ち出し、未知IPからの管理面アクセス。
• （考察）「自動化エージェント」由来の奇妙なコマンドコメントや、人間なら省略する自己正当化テキストがスクリプトに残っていないか。

参考リンク

• DIVD-2026-00014 — When, not if…
• DIVD-2026-00015 — Vulnerabilities in Zammad
• Zammad Community — LPE / ベンダー声明
• CISA Known Exploited Vulnerabilities Catalog
• SecurityWeek — Zammad Zero-Days Exploited in AI-Powered DIVD Hack
• Sysdig — AI agent exploits Zammad zero-days in DIVD breach