CISA prioriza falha crítica do Zammad que permite sequestro de sessão e execução remota

A CISA adicionou a CVE-2026-102489 ao catálogo de Vulnerabilidades Conhecidas e Exploradas em 2 de outubro. A falha de fixação de sessão afeta versões do Zammad entre 6.3.0 e anteriores à 6.5.4 e pode terminar em execução remota de código com os privilégios do usuário do serviço. A autoridade responsável pelo registro atribuiu pontuação CVSS 4.0 de 9,4, classificada como crítica.

O NVD informa que o problema também existe no código das versões 7.0.0 a 7.1.3, mas não seria explorável nelas pelas condições do ambiente. A própria Zammad afirma que versões 7.0 e posteriores não são afetadas na prática e que reforçou o código na versão 7.2.0.

Administradores de instalações autogerenciadas devem confirmar imediatamente a versão em uso, revisar exposição à internet e seguir a orientação do fornecedor. Para linhas antigas sem suporte, a recomendação do centro de resposta DIVD é migrar para a versão 7 ou retirar a instância do ar. A inclusão no KEV indica evidência de exploração real e justifica tratamento prioritário.