Zammadの脆弱性CVE-2026-102489、悪用確認で至急更新を

Zammad脆弱性CVE-2026-102489が意味すること——KEV掲載の重さを正確に理解する

オープンソースのカスタマーサポートシステム「Zammad」に、セッション固定化を起点とするリモートコード実行の脆弱性（CVE-2026-102489）が存在することが確認された。採番機関はDIVD（Dutch Institute for Vulnerability Disclosure）。2026年9月30日にcve.orgへ登録され、2026年10月2日にCISA（米サイバーセキュリティ・インフラセキュリティ庁）のKnown Exploited Vulnerabilities（KEV）カタログへ追加されている。

KEVへの掲載は、脆弱性の理論的リスクではなく、実際の悪用が確認されたことを意味する。日本の企業にとってCISAの対処期限（2026年10月5日）は米連邦機関向けのものであり、直接の義務を課すものではない。ただし自社が影響を受ける環境を持つ場合は、悪用が確認されている事実を踏まえて対応の優先度を検討する必要がある。

CVE-2026-102489のEPSS値は2026年10月29日時点で0.2248（パーセンタイル0.977）と、上位水準に位置する。EPSSは悪用確率の統計的推定であり、自社が攻撃対象になっているとは直接断定できないが、KEV掲載の事実と合わせて優先度の判断材料とすることが適切だ。

関連記事Collabora Onlineの悪用、対応版は？ ／ VeloCloud脆弱性は悪用確認済み？

CVE-2026-102489——セッション固定化によるリモートコード実行

CVE-2026-102489は、Zammadバージョン6.3.0以上6.5.4未満に存在するセッション固定化の脆弱性だ。攻撃が成立すると、zammadユーザー権限でのリモートコード実行（RCE）につながる。CVE公式記録（cve.org）によれば、同一のバグはバージョン7.0.0以上7.1.2以下にも存在するが、基盤となるフレームワークの変更により、その範囲では悪用が成立しないとされている。

攻撃ベクターはネットワーク（AV:N）、攻撃複雑度は低（AC:L）、利用者の受動的な関与（UI:P）が必要という構成。DIVDはCVSS 4.0スコアを2通り記録しており、8.7（HIGH）と9.4（CRITICAL）がある。2つの違いは、影響が他のシステムにまで及ぶ度合い（SC/SI/SA）を低く見積もるか高く見積もるかである。公開日は2026年9月30日、最終更新は2026年10月19日。

ベンダーのZammadは10月5日付の公式アドバイザリで、悪用が成立するのは6.5以前のバージョンだけで、これらはサポート終了済みのため修正は提供されないと説明している。7.0以降は実質的に影響を受けず、念のためのコード変更が7.2.0に含まれている（出典：Zammad Security Advisory）。

同じ製品の別の脆弱性

同じ日にCISAのKEVへ追加された、ZammadのDEB/RPMパッケージに起因するroot権限昇格の脆弱性は、別の記事で解説している。CISAのKEV登録情報には、2件を組み合わせた連鎖が可能だと記載されている。ただし、ベンダーによればCVE-2026-102489が悪用できるのは6.5以前のバージョンに限られる。

影響バージョンと修正状況の一覧——Zammad脆弱性CVE-2026-102489対処の前提確認

自社環境のZammadバージョンおよびインストール方法と照合するための基本情報を整理する。

CVE-2026-102489 影響バージョンと修正状況（2026年10月時点、CVE公式記録に基づく）

CVE ID	CVE-2026-102489
影響を受けるバージョン	6.3.0以上6.5.4未満
影響なし（除外条件）	7.0以降は実質的に影響なし（ベンダー見解。CVE記録も7.0.0〜7.1.2は基盤の変更により悪用不成立としている）
修正版	7.0以降へ更新（6.5以前はサポート終了で修正の提供なし）
CVSS 4.0最大値（評価者：DIVD）	9.4（CRITICAL）
CISA KEV	掲載済み（2026-10-02追加）

CVE-2026-102489は、ベンダーの見解では7.0以降へ更新すれば対象外となる（6.5以前は更新が提供されない）。

なお、本記事に記載したCVSSスコアはDIVDによる評価値である。

対処——更新と期限

• 7.0以降へ更新する（6.5以前はサポート終了で修正の提供なし）。詳細はZammadのセキュリティアドバイザリを参照。
• 公式の回避策はCVE記録に記載がない。ベンダーは、サーバーへのアクセスを信頼できる管理者に限るよう勧めている。
• CISAの対処期限は2026年10月5日（米連邦機関向け）。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE-2026-102489 CVE公式記録（cve.org）: https://www.cve.org/CVERecord?id=CVE-2026-102489
• CVE-2026-102489 NVD（NIST National Vulnerability Database）: https://nvd.nist.gov/vuln/detail/CVE-2026-102489
• CISA Known Exploited Vulnerabilities Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• Zammad Security Advisory: Zammad公式のセキュリティアドバイザリ
• DIVD CSIRT Advisory DIVD-2026-00015: https://csirt.divd.nl/DIVD-2026-00015