Zammad におけるセッション固定の脆弱性とリモートコード実行の恐れ

Zammad において、セッション固定（Session Fixation）の脆弱性が確認された。この脆弱性は、攻撃者が用意したセッション ID をユーザーに使用させ、認証後にそのセッションを乗っ取ることで悪用される。特に重大な点として、別の特権昇格の脆弱性（CVE-2026-102490）と連鎖させることで、zammad ユーザー権限によるリモートコード実行（RCE）が可能になる。CISA はこの脆弱性が野生下で実際に悪用されていることを確認しており、極めて高い警戒が必要である。CISA は米国の連邦政府機関に、2026年10月5日までの対応を求めている。