Zammad : deux failles exploitées, mettre à jour l'outil de ticketing

En bref

• Le fait. Le 2 octobre 2026, la CISA a ajouté à son catalogue KEV deux failles de Zammad, logiciel libre de gestion des demandes de support. CVE-2026-102489 permet de détourner une session et d'exécuter du code sur les versions 6.3.0 à 6.5.4. CVE-2026-102490 permet à un attaquant déjà présent sur le serveur d'obtenir les droits root sur les installations par paquets DEB ou RPM. Zammad a publié la version 7.2.2 le 8 octobre et un correctif exceptionnel 6.5.5 le 15 octobre 2026. Source : avis de Zammad.
• Êtes-vous concerné ? Si votre entreprise ou votre prestataire héberge Zammad sur ses propres serveurs. Selon l'éditeur, les clients Zammad SaaS n'ont aucune action à faire, et les installations à partir des sources ou des images de conteneur officielles ne sont pas touchées par CVE-2026-102490.
• Quoi faire :
  1. faites mettre à jour Zammad en 7.2.2 ou version ultérieure ;
  2. si une migration immédiate depuis la branche 6.5 est impossible, installez au minimum 6.5.5, disponible via un nouveau dépôt de paquets ;
  3. limitez l'accès au serveur Zammad aux seuls administrateurs de confiance.
• Urgence : élevée pour les installations auto-hébergées. La CISA signale une exploitation active.

Détail technique

Identifiants. CVE-2026-102489 : détournement de session menant à une exécution de code avec les droits du compte zammad, sur les versions 6.3.0 à 6.5.4. Selon la NVD, le défaut existe aussi de 7.0.0 à 7.1.2 sans y être exploitable. CVE-2026-102490 : élévation de privilèges locale vers root dans les paquets DEB et RPM construits avec packager.io, pour un attaquant disposant déjà de droits d'écriture avec le compte de service zammad. Pas d'alerte ni d'avis CERT-FR identifiés à la date de ce billet.

Produits et versions.

• Zammad auto-hébergé, paquets DEB et RPM (CVE-2026-102490) : versions affectées toutes les versions empaquetées publiées avant le correctif ; version corrigée : 7.2.2 ou ultérieure.
• Zammad auto-hébergé 6.3 à 6.5 (CVE-2026-102489) : versions affectées 6.3.0 à 6.5.4 ; version corrigée : 6.5.5 (correctif exceptionnel, branche hors support) ; 7.2.2 recommandée.

KEV. Oui : les deux CVE ont été ajoutées au catalogue KEV de la CISA le 2 octobre 2026.

Exploitation active. Oui, selon la CISA (inscription au KEV). Zammad précise que CVE-2026-102490 ne s'exploite pas seule à distance : elle suppose un accès préalable au serveur.

IOC publics. Aucun indicateur publié par l'éditeur à notre connaissance.

Remédiation.

• Mettre à jour en 7.2.2 (ou ultérieure), qui corrige l'élévation de privilèges des paquets DEB et RPM.
• Branche 6.5, hors support : 6.5.5 corrige CVE-2026-102489. Elle n'est disponible que via un nouveau dépôt de paquets et ne prolonge pas le support de la branche.
• Restreindre l'accès système au serveur Zammad aux administrateurs de confiance.