CISA incorporó el 2 de octubre de 2026 la vulnerabilidad CVE-2026-102489 al catálogo de vulnerabilidades explotadas conocidas. Afecta a Zammad, una plataforma de atención y gestión de tickets, y puede permitir el secuestro de una sesión que desemboque en ejecución remota de código con el usuario local de Zammad.
La inclusión en KEV aporta una señal más relevante que una puntuación aislada: existe evidencia de explotación. Las organizaciones que administren Zammad deben identificar la versión, reducir la exposición y seguir las instrucciones del proyecto y del equipo que investigó el caso.
Qué está confirmado
El registro de NVD indica que Zammad desde la versión 6.3.0 hasta versiones anteriores a 6.5.4 es vulnerable. DIVD describe el problema como un secuestro de sesión que permite ejecutar código como el usuario zammad.
DIVD también señala que la vulnerabilidad está presente entre Zammad 7.0.0 y 7.1.3, pero no resulta explotable en esas versiones debido a las condiciones del entorno. Esta distinción es importante: presencia del defecto y explotabilidad efectiva no siempre son equivalentes.
El incidente investigado por DIVD comenzó con abuso observado el 21 de septiembre. El equipo analizó el problema, notificó al fabricante y comenzó a avisar a propietarios de instancias expuestas. CISA añadió CVE-2026-102489 a KEV el 2 de octubre.
Relación con CVE-2026-102490
Durante la misma investigación se identificó CVE-2026-102490, una vulnerabilidad local que permitiría al usuario de Zammad elevar privilegios a root. DIVD explica que ambas pueden encadenarse: la primera proporciona ejecución como el usuario del servicio y la segunda eleva privilegios.
No debe asumirse que cualquier instancia afectada ha sido comprometida ni que ambas vulnerabilidades se hayan usado contra todas las víctimas. Lo confirmado es la explotación en el caso investigado y la presencia de CVE-2026-102489 en KEV.
Productos y versiones afectadas
- Zammad 6.3.0 hasta versiones anteriores a 6.5.4: afectadas por CVE-2026-102489.
- Zammad 7.0.0 a 7.1.3: el defecto está presente, pero DIVD indica que no es explotable por las condiciones del entorno.
- CVE-2026-102490 afecta, según DIVD, a un rango más amplio y debe revisarse en el aviso actualizado.
Versión corregida y mitigación
DIVD recomienda actualizar a Zammad 7 o retirar temporalmente de Internet la instancia cuando no sea posible actuar de inmediato. El caso marca el parche como disponible, pero también permanecía abierto en la actualización consultada. Por ello, los administradores deben revisar el aviso vigente antes de decidir la versión objetivo.
Actualizar es prioritario, pero no demuestra que el sistema no haya sido comprometido antes. Cuando una vulnerabilidad ha sido explotada como día cero, la instalación del parche debe acompañarse de revisión de registros, sesiones, persistencia, cuentas y actividad anómala.
Cómo comprobar la exposición
- Localiza todas las instancias de Zammad, incluidas pruebas, migraciones y servidores no inventariados.
- Comprueba la versión desde la administración o el método documentado por el proyecto.
- Confirma si la interfaz es accesible desde Internet y qué controles existen delante.
- Registra cuándo se instaló la versión corregida.
- Conserva registros antes de reiniciar, reinstalar o eliminar componentes.
Acciones recomendadas por prioridad
1. Reducir la exposición
Si la instancia está afectada y no puede actualizarse inmediatamente, restringe el acceso de forma controlada o retírala temporalmente. No confíes exclusivamente en ocultar la URL.
2. Actualizar siguiendo las instrucciones vigentes
Prepara una copia, documenta la versión actual y actualiza a la rama recomendada por Zammad y DIVD. Comprueba después la autenticación, el correo, las integraciones y la creación de tickets.
3. Investigar posible compromiso
DIVD ofrece indicadores y una herramienta de comprobación de registros. Utilízalos como apoyo, no como garantía absoluta de limpieza. Revisa accesos, sesiones, procesos, tareas programadas, claves, modificaciones y conexiones salientes.
4. Rotar secretos si existen indicios
Si se confirma o sospecha una intrusión, coordina la rotación de credenciales, tokens, claves de correo e integraciones desde un entorno fiable. La secuencia importa: rotar antes de contener al atacante puede exponer de nuevo los secretos.
Estado de explotación
Confirmado: abuso de la vulnerabilidad en el incidente de DIVD y entrada de CVE-2026-102489 en CISA KEV. No determinado: alcance global completo, número de organizaciones afectadas y actividad posterior en cada instancia concreta.
Conclusión
Las instancias Zammad afectadas requieren algo más que aplicar una actualización: hay que conocer la exposición previa y buscar señales de compromiso. T3chWare puede colaborar en el inventario, revisión técnica, preservación inicial de evidencias y priorización de medidas. Contacto en t3chware.net.
Fuentes oficiales y primarias: CISA KEV; NVD; caso DIVD-2026-00015.
