무슨 일이 있었나
CISA는 2026-10-02에 두 CVE를 KEV 카탈로그에 추가했으며 악용 사실이 확인되었습니다. CVE-2026-102489는 zammad 서비스 사용자 권한으로 원격 코드 실행으로 이어질 수 있는 세션 고정 취약점(CWE-384)이며, CVE-2026-102490은 로컬 zammad 사용자가 루트로 권한을 상승시킬 수 있는 부적절한 권한 관리 결함(CWE-269)입니다. Zammad의 자체 권고문에는 CVE-2026-102490이 '활발히 악용되고 있는 것으로 보고되었다'고 명시되어 있습니다. BOD 26-04에 따라 연방 기한은 2026-10-05입니다.
왜 중요한가
Zammad는 널리 자체 호스팅되는 고객 지원 플랫폼으로, AI 에이전트 및 AI 티켓 기능이 동일한 애플리케이션과 호스트에서 실행됩니다. 확인된 실제 RCE-to-root 체인은 손상된 Zammad 인스턴스가 공격자에게 조직의 AI 지원 에이전트를 실행하는 호스트에 대한 완전한 제어권을 부여한다는 것을 의미합니다. 여기에는 모델 자격 증명, 프롬프트/필터 구성, 그리고 연결된 티켓팅/AI 백엔드가 포함됩니다.
공격 경로
원격 세션 고정을 통해 인증된 세션을 획득한 후 zammad 사용자 권한으로 RCE로 연결됩니다. 별도의 로컬 권한 상승 경로를 통해 zammad 사용자에서 루트로 권한을 상승시킬 수 있습니다.
영향받는 시스템
Zammad (세션 고정 취약점은 CVE-2026-102490과 연결되어 zammad 사용자 권한으로 RCE를 유발할 수 있으며, 로컬 권한 상승으로 루트까지 도달 가능)
완화 방안
2026-10-05 연방 기한 전에 https://zammad.com/en/product/releases/ 의 Zammad 패치 릴리스를 적용하십시오. 활발히 악용되고 있는 것으로 간주하여 이전 침해 여부를 검토하고 영향을 받은 호스트의 자격 증명을 교체하십시오.