Zammad 脆弱性CVE-2026-102490、7.2.2未満のパッケージ版で悪用を確認

CVE-2026-102490の概要——何が起きているか

2026年9月30日、オープンソースのカスタマーサポートプラットフォーム「Zammad」に、深刻な権限昇格の脆弱性が公開された（CVE ID：CVE-2026-102490、採番元CNA：DIVD、最終更新：2026年10月8日）。

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の「Known Exploited Vulnerabilities（KEV）カタログ」に2026年10月2日付で追加されており、実際の悪用が確認された脆弱性として分類されている（出典：CISA KEVカタログ）。CISAが示した対処期限は2026年10月5日である。

CVSSスコアはDIVDによる評価で8.5（High、CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N）と9.4（Critical、CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）の2つが示されている（出典：CVE.org — CVE-2026-102490）。

修正版はZammad 7.2.2。影響を受けるのはバージョン1.5.0以上7.2.1以下のパッケージ版インストールに限られる。

関連記事Strapiの脆弱性で情報漏えいの危険は？ ／ Magentoの脆弱性、ECサイトは今すぐ何を？

CVE-2026-102490の技術的な内容——なぜroot権限が奪われるか

この脆弱性の核心は、packager.ioでビルドされたDEBおよびRPMパッケージ経由でインストールされたZammadにおけるサービス起動シーケンスの設計上の問題にある。

Zammadのサービスプロセスはrootとして起動し、その後zammadサービスアカウントへ権限を落とす設計になっていた。しかし権限を落とす前の段階で、zammadアカウントが所有し書き込みが可能なファイルを実行していた。加えて、インストールディレクトリ自体もzammadアカウントによって書き込み可能な状態にあった。

この構造が意味することは、ローカルでzammadサービスアカウントとしてのファイルシステム書き込み権限を既に持つ攻撃者が、管理者の操作を一切必要とせずにホスト上でroot権限へ昇格できる点にある。当該サービスは停止のたびに自動的に再起動される仕組みであったため、攻撃者が足がかりを得ていれば数秒以内の権限昇格が可能だった。

影響範囲は以下のとおり明確に限定される。ソースからのインストール、および公式コンテナイメージは影響を受けない。リリースされた全パッケージ版（1.5.0〜7.2.1）が対象となる（出典：Zammad Security Advisory GHSA-p97w-927q-8vxq）。

日本企業にとっての意味——なぜ今すぐ動く必要があるか

CISA KEVへの掲載は「悪用が実際に確認された」ことを公式に意味する。ただしKEVに掲載されていても、自社の環境が影響を受けるとは限らない。EPSSによる悪用確率の統計的推定値は約0.109（パーセンタイル約0.96、2026年10月29日時点）であり、これは統計的推定であって、特定の環境が攻撃されると断定するものではない（出典：CVE.org — CVE-2026-102490）。

root権限を取得した攻撃者はホスト全体の掌握が可能となる。CISAはランサムウェアでの利用状況を「Unknown（未確認）」と記録している。

なお、CISAが定めた対処期限（2026年10月5日）は米連邦機関向けの義務であり、日本企業に直接の法的義務を課すものではない。

CVE-2026-102490への対応——今やるべき3点

この脆弱性への対応は以下の3点に集約される。手順の詳細は公式セキュリティアドバイザリを参照すること。

1. 修正版7.2.2への更新。packager.ioパッケージ経由でインストールされたZammadのバージョン1.5.0以上7.2.1以下を使用している場合は、修正版7.2.2へ更新する。詳細は公式セキュリティアドバイザリを参照すること（出典：Zammad Security Advisory GHSA-p97w-927q-8vxq）。

2. 更新の優先順位を上げる。CISA KEVカタログへの掲載は実際の悪用確認を意味するため、更新の優先順位を上げる。CISAが示した必要な対処は「ベンダー指示に従ったミティゲーションの適用（BOD 26-04準拠）」であり、緩和策が利用できない場合は製品の利用停止も選択肢として示されている（出典：CISA KEVカタログ）。

3. 公式の回避策は現時点で確認されていない。公式セキュリティアドバイザリには回避策（workaround）の記載がない。修正版7.2.2への更新が唯一の確実な対処となる。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

同じ製品の別の脆弱性

同じ日にCISAのKEVへ追加された、Zammadのセッション固定化によるリモートコード実行の脆弱性は、別の記事で解説している。CISAのKEV登録情報には、2件を組み合わせた連鎖が可能だと記載されている。

---

参考文献

• Zammad GmbH, Security Advisory GHSA-p97w-927q-8vxq — https://github.com/zammad/zammad/security/advisories/GHSA-p97w-927q-8vxq
• CVE.org — CVE-2026-102490（採番元CNA：DIVD） — https://www.cve.org/CVERecord?id=CVE-2026-102490
• NVD（National Vulnerability Database） — CVE-2026-102490 — https://nvd.nist.gov/vuln/detail/CVE-2026-102490
• CISA Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog