Falla crítica en Zammad permite secuestrar sesiones y ejecutar código sin autenticación, y ya se explota

La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos, CISA, agregó el 2 de octubre la falla CVE-2026-102489 de Zammad a su catálogo de vulnerabilidades explotadas conocidasLista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir., conocido como KEV. El motivo es una intrusión del 21 de septiembre: el Instituto Neerlandés para la Divulgación de Vulnerabilidades, DIVD, fue atacado a través de su propio Zammad, con esta falla encadenada a otra que lleva al atacante hasta la cuenta root del servidor.

Zammad es un sistema de tickets de soporte de código abierto que muchas organizaciones publican en internet para atender a sus clientes. La falla permite a un atacante sin credenciales tomar sesiones de usuarios y ejecutar código en el servidor de Zammad. CISA incorporó también la segunda falla, CVE-2026-102490, en el mismo aviso.

Qué es la falla: sesiones ajenas al alcance de cualquiera

En simple, un desconocido puede quedarse con la sesión abierta de otro usuario, incluida la de un administrador, y desde ahí correr órdenes en el servidor como el usuario zammad, la cuenta con la que funciona el sistema. Es un secuestro de sesiónAtaque en el que alguien obtiene el identificador de una sesión abierta, como una cookie, y lo usa para hacerse pasar por el usuario sin conocer su contraseña. que termina en ejecución remota de código.

La Base de Datos Nacional de Vulnerabilidades de Estados Unidos, NVD, y CISA la clasifican como fijación de sesión. Según el análisis del código público que publicó CVE Brief, en la práctica se trata de una filtración: el servidor de WebSocket antiguo de Zammad devolvía mensajes de error que, con la versión de Ruby de la rama 6, incluían las cookies de sesión de los usuarios conectados. Se ataca por la red y no exige contraseña. La NVD considera que tampoco requiere interacción; DIVD, en su puntuación, contempla una interacción pasiva de un usuario legítimo que esté conectado.

La segunda falla es una escalada de privilegiosAprovechamiento de una falla para pasar de una cuenta con permisos limitados a otra con más control sobre un sistema, como la de administrador o root.: según DIVD, permite que el usuario local zammad pase a ser root en todas las versiones, incluida la última alfa. Zammad dijo el 1 de octubre que DIVD todavía no le había enviado detalles técnicos y que no puede confirmarla.

A quién afecta

Las versiones explotables de CVE-2026-102489 van de la 6.3.0 a la 6.5.4, según la NVD y DIVD. Esas versiones ya no reciben parches: Zammad informó que solo corrige la versión estable vigente. El código defectuoso sigue presente desde la 7.0.0, pero no se puede aprovechar por cambios en el entorno de ejecución. La NVD ubica ese tramo hasta la 7.1.2 y DIVD, hasta la 7.1.3. Zammad sostiene que la 7.0 y las posteriores no están afectadas y que la 7.2.0 ya incluye el código reforzado.

Estado de explotación

La falla está explotada, según CISA, que la sumó al catálogo por evidencia de explotación activa. El único caso confirmado es el de DIVD. En un mensaje del 24 de septiembre en LinkedIn, citado por SecurityWeek, el instituto dijo que el modo de operar indicaba un ataque impulsado por un agente de IASistema de inteligencia artificial que actúa de forma autónoma para cumplir una tarea, por ejemplo usando programas o conectándose a internet, sin intervención humana en cada paso.. Esa atribución es de DIVD y no tiene confirmación independiente. Los atacantes saltaron del servidor de Zammad a otros servicios y se llevaron datos, hasta que la segmentación de la red los frenó. "Hasta que podamos probar lo contrario, asumimos una intrusión", advirtió DIVD. El instituto está escaneando internet en busca de instancias vulnerables y avisa a sus dueños, aunque no publicó cuántas encontró.

Antecedentes: una divulgación en disputa

Zammad afirma que recibió un primer reporte de esta falla en agosto. Según la cronología de DIVD, el instituto le reportó el problema el 24 de septiembre y el 26 hizo un escaneo público y una divulgación limitada. En su comunicado, Zammad dijo que no considera esa "una forma responsable" de manejar vulnerabilidades y que pidió formalmente a DIVD toda la información sobre la segunda falla.

Qué hacer

Zammad recomienda actualizar ya a la 7.2.0, y DIVD aconseja pasar a la versión 7 o desconectar la instancia. Quien tenga la rama 6 tiene que planificar el salto de versión mayor, porque no habrá corrección para ella. Como la falla se explotó antes de hacerse pública, actualizar no alcanza: conviene revisar los registros con el script de indicadores de compromisoRastros técnicos, como direcciones IP, nombres de archivo o huellas digitales de archivos, que permiten detectar si un sistema fue atacado por una amenaza conocida. que publicó DIVD y conservar los registros antes de tocar el servidor. Para las agencias federales de Estados Unidos, el alta en KEV exige además una revisión forense. Si aparecen rastros, el análisis de CVE Brief aconseja invalidar todas las sesiones y cambiar las credenciales que Zammad guarda para conectarse con otros servicios. Sobre la segunda falla, Zammad pide seguir sus avisos de seguridad en GitHub.

Ficha técnica

• CVE: CVE-2026-102489 (secuestro de sesión con ejecución remota de código) y CVE-2026-102490 (escalada al usuario root).
• CVSS de CVE-2026-102489: 9.8 en la versión 3.1, según la NVD, con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H; 9.4 en la versión 4.0, según DIVD.
• CVSS de CVE-2026-102490: 9.4 en la versión 4.0, según DIVD.
• CWE: CWE-384 (fijación de sesión) para la primera y gestión inadecuada de privilegios para la segunda.
• EPSS de CVE-2026-102489: 0.013.
• Versiones afectadas: 6.3.0 a 6.5.4 explotables; 7.0.0 a 7.1.2 según la NVD, o 7.1.3 según DIVD, con el código presente pero no explotable.
• Versión corregida: 7.2.0 para CVE-2026-102489; sin corrección publicada para CVE-2026-102490 al 2 de octubre.
• Aviso del fabricante: avisos de seguridad de Zammad en GitHub.
• Publicación en la NVD: 30 de septiembre de 2026. Alta en KEV: 2 de octubre de 2026.

Actualización (8 de octubre de 2026): Zammad publicó el aviso GHSA-p97w-927q-8vxq, que ubica CVE-2026-102490 en los paquetes DEB y RPM y la corrige en la versión 7.2.2, según su página de avisos y CVE Brief.