Zammad oturum ele geçirme zinciri CVE-2026-102489, root uzaktan kod yürütme seviyesine yükseliyor

Çalınan oturumdan tam ele geçirmeye

dev.to'da yayımlanan bir yazı, açık kaynak destek ve yardım masası platformu Zammad'a yönelik iki aşamalı bir saldırıyı belgeliyor; saldırıda ele geçirilen bir kullanıcı oturumu, sunucunun tümüyle ele geçirilmesi için başlangıç noktası olarak kullanılıyor. Olay, kendi Zammad kurulumunun bu zincirle hedef alındığı açıklayıcı grup DIVD'yi kapsıyor ve yayımlanan ayrıntıların büyük bölümü bu grubun raporuna dayanıyor.

İki CVE birbirine nasıl oturuyor

İlk zafiyet olan CVE-2026-102489, çalınan bir oturumu zammad servis hesabı altında kod yürütme yeteneğine dönüştürüyor. dev.to analizine göre bu, önceden herhangi bir yetki gerektirmiyor — yalnızca CVSS'nin pasif kullanıcı etkileşimi dediği şey yeterli — ve tek başına 8.7 puan alıyor. zammad hesabı bilinçli olarak yetkisiz olacak şekilde tasarlandığından, bu ilk aşama saldırgan için mütevazı bir kazanç gibi görünüyor.

Tabloyu değiştiren ikinci aşama. CVE-2026-102490, bu yerel kalıbı alıp root seviyesine yükseltiyor; tek başına 8.5 puan alıyor ve daha düşük olmasının tek nedeni yerel erişimin ön koşul olması. Birleştiğinde ikili, CVSS 4.0 değerlendirmesinde 9.4 ile Kritik düzeyine ulaşıyor ve her iki bileşen de sahte olmayan saldırılarda kullanılmış olarak işaretlenmiş. Yazıda belirtildiği üzere Zammad da DIVD de her iki hatanın altında yatan teknik kusuru yayımlamadı; bu nedenle savunmacılar, hata sınıfı üzerine spekülasyon yapmak yerine belgelenmiş ön koşullardan hareket etmeli. Belgelenen şey ise hız: DIVD, zincirin otomatikleştirilebilir olduğunu ve root erişiminin saniyeler içinde elde edildiğini bildiriyor.

Saldırganın kazandığı şey

Net etki, ağdaki kimliği doğrulanmamış bir saldırganın sunucu üzerinde tam denetim elde etmesi. dev.to analizine göre bu, ticket içeriklerinin, sohbet kayıtlarının ve müşteri verilerinin okunabilir hale gelmesi, yapılandırma gizli bilgilerinin toplanabilmesi ve makinenin daha fazla hareket için bir sıçrama noktası olarak kullanılabilmesi anlamına geliyor.

DIVD, gönüllülerine ait verilerin — e-posta adresleri ve muhtemelen diğer iletişim bilgileri dâhil — alındığını doğruladı ve bu bilgilerin kimlik takliti girişimlerini destekleyebileceği uyarısında bulundu.

Etkilenen sürümler ve maruziyet

Rapora göre CVE-2026-102489, Zammad 6.3.0 ile 6.5.4 sürümleri arasında sömürülebilir. 7.0.0 ile 7.1.3 arasındaki sürümlerde temel kusur mevcut ancak ortam koşulları nedeniyle sömürülebilir olarak değerlendirilmiyor. Yetki yükseltme zafiyeti olan CVE-2026-102490 ise çok daha geniş bir aralığı kapsıyor: Zammad 1.5.0'dan 7.1.0 alfa sürümüne kadar uzanıyor ve hem Linux hem Docker kurulumları etkileniyor.

Genel maruziyeti nicelendirmek zor. Yazıda aktarılan, 2 Ekim 2026'da çalıştırılan bir ZoomEye sorgusu 11.977 Zammad örneği döndürdü — bu, doğrulanmış savunmasız sunucu sayısı değil bir ürün parmak izi — ve yükseltme CVE'sine yönelik vul.cve üzerindeki bir takip filtresi dizine alınmış sonuç döndürmedi.

Operatörler ne yapmalı

dev.to aracılığıyla aktarılan DIVD önerisi, Zammad 7'ye yükseltmek ya da sistemi çevrimdışıya almak; her iki eylem de uzaktan giriş noktasını ortadan kaldırıp zinciri kırıyor. Dikkat çekici olan, yükseltme kusurunun mevcut sürümlerde hâlâ bulunduğu ve düzeltmenin hâlâ devam ettiği.

Bunun ötesinde yazı; yayımlanan log denetim betiğini Zammad logları üzerinde çalıştırmayı, yardım masasını herkese açık internetten çekmeyi ya da erişimi sıkı biçimde kısıtlamayı, sunucudaki ve komşu sistemlerdeki kimlik bilgilerini döndürmeyi ve sunucuyu ağ üzerinde yalıtmayı öneriyor. İlk kalıntı çalınmış bir parola değil bir oturum olduğu için, ayrıca oturum yönetimi ve loglamanın özellikle gözden geçirilmesini savunuyor.

Neden önemli

Kendi sunucusunda barındıranlar için iki ders öne çıkıyor. Birincisi, tek tek önem puanları zincirlerin ciddiyetini düşük gösteriyor: tek başına oturum ele geçirme nadiren kritik olarak okunur ama yerel bir yetki yükseltmeyle eşleşince kimliği doğrulanmamış root sağlar ve CVE başına puanlar bunu asla göstermez. İkincisi, yardım masası platformları alışılmadık ölçüde zengin hedeflerdir — müşteri yazışmalarını, iç notları ve entegrasyon gizli bilgilerini tek bir makinede toplarlar ve DIVD'nin deneyimi, sonuçların yalnızca altyapıya değil insanlara da ulaştığını gösteriyor. İnternete açık Zammad 6.3–6.5 çalıştıran herkes bunu acil görmeli; yamalanmış kurulumlar bile log denetimi ve kimlik bilgisi döndürmeyi hak ediyor.