DIVD revela dos zero-days de Zammad encadenados para lograr RCE y acceso root
DIVD revela dos zero-days de Zammad encadenados para lograr RCE y acceso root
La investigación del incidente sufrido por DIVD identificó dos fallas de Zammad que permiten secuestrar sesiones, ejecutar código y escalar desde el usuario de la aplicación hasta root. La organización publicó versiones afectadas y una guía de contención.
La investigación convirtió un incidente en dos CVE
DIVD publicó el 30 de septiembre el expediente de un compromiso iniciado el 21 de septiembre y confirmó que el acceso inicial aprovechó dos vulnerabilidades de día cero en Zammad. La organización separó la investigación del incidente de la notificación a propietarios de instancias expuestas y asignó CVE-2026-102489 y CVE-2026-102490.
DIVD atribuye la velocidad y coordinación de la intrusión a automatización mediante agentes de IA. Esa caracterización procede de la víctima y la investigación sigue abierta; lo técnicamente confirmado es que la cadena permitió pasar de una sesión de Zammad a ejecución de código y privilegios root.
De una sesión de soporte al control del servidor
CVE-2026-102489 permite secuestrar sesiones y ejecutar código como el usuario zammad. Afecta las versiones 6.3.0 a 6.5.4. El código también está presente entre 7.0.0 y 7.1.3, aunque DIVD indica que no resulta explotable en esas ramas por las condiciones del entorno.
CVE-2026-102490 es una escalada local de privilegios que afecta desde Zammad 1.5.0 hasta 7.1.0-alpha. Por separado requiere acceso local con pocos privilegios y tiene severidad alta; encadenada con la primera falla permite a un atacante remoto no autenticado avanzar hasta root. DIVD asignó a la cadena un CVSS de 9,4.
El alcance del incidente aún no está cerrado
DIVD bloqueó el acceso a los sistemas de su centro de datos el 22 de septiembre e inició una investigación forense junto con Merlon Security. La organización informó movimiento lateral y señales de exfiltración, pero señaló que la segmentación de red limitó el avance. El análisis de datos afectados continúa.
El CSIRT recomienda migrar a Zammad 7 o retirar temporalmente el servicio de línea y publicó un script para revisar indicadores en los registros. Como el aviso también señala que la falla de escalada alcanza una versión 7.1.0-alpha y que Zammad trabaja en una corrección, no debe considerarse segura una instalación únicamente por pertenecer a la rama 7: es necesario seguir la versión exacta y las actualizaciones del fabricante y de DIVD.
Medidas defensivas
Las instancias de mesa de ayuda contienen credenciales, conversaciones, adjuntos e información operativa valiosa. La respuesta debe contemplar tanto el servidor Zammad como los sistemas accesibles desde él.
- Actualizar siguiendo el aviso más reciente de DIVD y Zammad; si no puede verificarse una versión protegida, aislar o desconectar la instancia.
- Ejecutar el verificador de DIVD sobre copias preservadas de los registros y buscar sesiones, procesos y elevaciones de privilegio anómalas.
- Rotar secretos, credenciales de integración, tokens y cuentas de servicio accesibles desde Zammad si hay cualquier indicio de compromiso.
- Revisar movimiento lateral, conexiones salientes y acceso a datos en los sistemas vecinos; no limitar la investigación al servidor de tickets.
Fuentes y referencias
Esta publicación es una síntesis original. Consulte las fuentes primarias para información técnica completa y actualizaciones.
- 1SecurityWeek ↗prensa especializada
- 2
- 3
- 4
¿Esta amenaza puede afectar a su empresa?
ENERIT puede ayudarle a evaluar exposición, priorizar remediaciones y fortalecer su operación de ciberseguridad.
Hablar con un especialista