オープンソースのサポート窓口システム「Zammad」に特権昇格の脆弱性、最新アルファ含む全版に影響〜米CISAが悪用カタログに追加

要点

• オープンソースのヘルプデスクツール「Zammad」において、一般ユーザー権限からroot権限を取得可能な特権昇格の脆弱性（CVE-2026-102490）が判明した。

• 最新のアルファ版（7.1.0 alpha）を含む全バージョンが対象で、DockerやLinux環境で動作する構成に影響する。

• オランダ脆弱性開示研究所（DIVD）によるCVSS v4.0の評価スコアは9.4で、深刻度「CRITICAL（緊急）」と判定されている。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年10月2日に悪用確認済みカタログ（KEV）へ追加し、期日までの緩和策適用を指示した。

• 米国立標準技術研究所（NIST）の脆弱性データベース（NVD）において、Zammad GmbHが手掛けるオープンソースのサポートデスク管理システム「Zammad」に関する深刻な脆弱性（CVE-2026-102490）の情報が公開された。オランダ脆弱性開示研究所（DIVD）の報告によると、最新のアルファ版を含むすべてのバージョンにおいて、ローカルのzammadユーザーがroot権限へと特権昇格できる問題が存在するという。米サイバーセキュリティ・インフラセキュリティ庁（CISA）は本脆弱性の悪用を確認し、2026年10月2日付で「悪用が確認された脆弱性カタログ（KEV）」へ登録した。

脆弱性の詳細と影響を受けるシステム構成

今回公開されたCVE-2026-102490は、Zammadにおける不適切な権限管理の不備に起因する脆弱性だ。共通脆弱性タイプ識別子では「CWE-269（不適切な特権管理：プログラム内の権限割り当てが適切に制御されていない状態）」に分類されている。

NVDの情報によると、本脆弱性はZammadの全バージョンに存在し、開発中の最新アルファ版である「7.1.0 alpha」も対象に含まれる。バージョン1.5.0以上7.1.0未満、および7.1.0 alphaが明確に影響対象として記載されており、1.5.0未満の過去バージョンについては影響の有無が未確定（Unknown）とされている。

動作環境としては、Linuxカーネル上で動作するシステムのほか、コンテナ環境であるDocker上で実行されている構成が影響対象（CPE）に指定されている。ローカルのzammadユーザー権限を持つ攻撃者やプロセスが、この不備を突くことで、OSの最上位権限であるroot権限へと昇格可能になると説明されている。

CVSS v4.0による深刻度評価

本脆弱性に対しては、報告元であるオランダ脆弱性開示研究所（DIVD：Dutch Institute for Vulnerability Disclosure）により、脆弱性の深刻度を評価する規格「CVSS v4.0」に基づくスコア算定が行われている。

DIVDが算定したCVSS-BTスコアは「9.4」で、深刻度は最高レベルの「CRITICAL（緊急）」と評価された。評価ベクター（CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:A/AU:Y/V:C）では、対象システムおよび関連システムに対する機密性・完全性・可用性への影響がいずれも「High（高）」と判定されている。また、攻撃状況を示す指標には、実際に悪用されていることを示す「E:A（Attacked）」が割り当てられている。なお、NIST（NVD）による独自の詳細アセスメント結果は現時点で未提供（N/A）となっている。

米CISAが悪用カタログに追加、緊急の対処を要求

米国のサイバーセキュリティ機関であるCISAは、2026年10月2日、本脆弱性を「悪用が確認された脆弱性カタログ（Known Exploited Vulnerabilities Catalog：KEV）」へ公式に追加した。

CISAの通知によると、本件「Zammad GmbH Zammad Improper Privilege Management Vulnerability」に対する対策完了期日（Due Date）は、追加から3日後の2026年10月5日に設定されている。

必須対応（Required Action）として、ベンダー指示に従った緩和策の適用が求められている。具体的には、CISAの拘束的運用指令「BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）」のガイダンスや「フォレンジックトリアージ要件」への準拠が求められている。また、各資産のインターネット露出度に応じたBOD 26-04のパッチ指針の遵守、クラウド環境向けガイダンスの適用、緩和策が利用できない場合の製品使用中止などが指示されている。

公開されているアドバイザリ

本脆弱性に関する技術的な詳細は、報告元であるオランダ脆弱性開示研究所（DIVD）の公開ページ「CVE-2026-102490」および事例コード「DIVD-2026-00015」にてサードパーティアドバイザリとして確認できる。また、CISAのKEVカタログにおいても米政府公式リソースとして情報が提供されている。