Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-269

CVE-2026-102490

Zammad'da yetki yükseltme (root erişimi) zafiyeti

Zammad GmbH Zammad

Yüksek 8,5 CVSS 4.0
Yayımlandı
Güncellendi
8 Eki 2026
Açık yaşı
28 gün
Kaydı açan
DIVD
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 2 Eki 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 5 Eki 2026.

Yönetici özeti

Bu zafiyet, sunucuda yerel erişimi olan birinin tüm sistemi ele geçirmesine yol açabilir. CISA bu açığın aktif olarak sömürüldüğünü bildirmiştir, bu nedenle öncelikli olarak ele alınmalıdır. Hizmetin iş sürekliliği ve veri güvenliği açısından acil önlem gerektirir.

ÖzetTürkçe

Zammad'daki yetki yönetimi hatası, sistemde yerel olarak oturum açabilen zammad kullanıcısının root yetkisi elde etmesine olanak tanıyabilir. Zafiyet, CVE-2026-102489 ile birleştirilebilir. Kaynaklarda etkilenen sürümler ayrıntılı olarak belirtilmemiştir.

Saldırgan ne yapabilir?

Saldırgan, yerel erişimi olan bir kullanıcı olarak sistem üzerinde yetkisiz root ayrıcalıklarını ele geçirebilir ve sunucunun tam kontrolünü alabilir.

Kaynaktaki açıklama (İngilizce)

Zammad packages built with packager.io (DEB and RPM) could have allowed a local attacker who already had file system write privileges as the unprivileged zammad service account to escalate to full root privileges on the host. Service processes began running as root and executed files that were owned and writable by the zammad account before dropping their identity to that account. An attacker holding that foothold could have escalated within seconds, because the affected services were restarted automatically whenever they stopped; no administrator interaction was required. Only installations from the DEB and RPM packages were affected — installations from source or the official container images were not. All released packaged versions were affected.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Ne yapmalı?

  1. Zammad GmbH'nin yayımladığı güvenlik düzeltmesi veya yönergeleri (vendor_solution) kaynak verilerinde ayrıntılı olarak belirtilmediğinden, Zammad'ı resmi kanallardan güncel sürüme yükseltin. Genel öneri
  2. CISA'nın BOD 26-04 kapsamındaki yönergeleri doğrultusunda, satıcı talimatlarına göre önlemleri uygulayın ve varlıkların internete açıklık durumunu değerlendirin. CISA
  3. CISA'nın adli inceleme (forensics triage) gereksinimlerine uygun olarak sistemde olası ihlal izlerini araştırın. CISA
  4. Düzeltme veya etkili bir önlem uygulanamıyorsa, ürünün kullanımını durdurmayı değerlendirin. CISA

Ek önlemler

  • Yerel kullanıcı hesaplarını ve sudo veya benzeri yetki yükseltme mekanizmalarının kullanımını gözden geçirin; gereksiz yerel erişimleri kaldırın. Genel öneri
  • Sistem kayıtlarında beklenmedik root oturumlarını, yetki değişikliklerini ve zammad kullanıcısı tarafından yapılan olağandışı işlemleri izleyin. Genel öneri
  • CVE-2026-102489 için de güvenlik bültenlerini takip edin ve iki açığın zincirleme kullanımına karşı birlikte önlem alın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Zammad GmbH Zammad ≥ 1.5.0, < 7.2.2 7.2.2
< 1.5.0 Bilinmiyor –
≥ 7.2.2 Etkilenmiyor –

Kaynaklar8 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.