Aktívan kihasználják a Zammad kritikus jogosultságkezelési hibáját

A leírás szerint a támadónak már rendelkeznie kell fájlrendszerbeli írási jogosultsággal a korlátozott jogosultságú zammad szolgáltatásfiók nevében. A sérülékenység tehát nem önmagában, előzetes hozzáférés nélkül biztosít belépést.

Az érintett szolgáltatásfolyamatok kezdetben root jogosultsággal futottak, és a zammad fiók tulajdonában lévő, általa írható fájlokat hajtottak végre, mielőtt átváltottak volna a korlátozott fiókra. A leálló szolgáltatások automatikusan újraindultak, így a támadó másodpercek alatt magasabb jogosultságot szerezhetett, rendszergazdai közreműködés nélkül.

A CISA október 2-án vette fel a hibát a kihasznált sebezhetőségek listájára. Az október 5-i javítási határidő már lejárt, de ez az amerikai szövetségi szerveknek előírt határidő, nem a magyar cégekre vonatkozó kötelezettség.

A 9,4-es CVSS-pontszám a hiba műszaki súlyosságát jelzi a tízes skálán, és a kritikus kategóriába esik. Az aktív kihasználást ettől külön a CISA besorolása támasztja alá. A zsarolóvírusos felhasználásról nincs ismert adat.

A CISA a gyártó utasításai szerinti kockázatcsökkentő intézkedések alkalmazását írja elő. A rendelkezésre álló kivonat nem közöl javított verziószámot vagy telepítési parancsot, ezért ezek alapján konkrét frissítési eljárás nem adható meg. A közlés szerint a hiba a CVE-2026-102489 jelű sérülékenységgel is összekapcsolható.