Das BSI CERT-Bund stuft die Meldung WID-SEC-2026-3694 zum Helpdesk- und Ticketsystem Zammad als kritisch ein. Die Erstveröffentlichung war am 1. Oktober 2026. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen ausnutzen, um beliebigen Programmcode mit Benutzerrechten auszuführen und um Root-Rechte zu erlangen. Die Meldung nennt die Kennungen CVE-2026-102489 und CVE-2026-102490. Der Hersteller hat am 8. Oktober 2026 die Version 7.2.2 veröffentlicht. Als betroffen führt die Meldung unter anderem Versionen bis 7.1.3 sowie Versionen vor 7.2.2. So setzen Sie es um: Klären Sie zuerst, ob in Ihrem Haus Zammad eingesetzt wird, auch als Fachbereichslösung außerhalb der zentralen IT. Prüfen Sie dann die installierte Version und stellen Sie sicher, dass die Version 7.2.2 oder neuer läuft. Tickets können Kundendaten und Zugangsinformationen enthalten, deshalb gehört das System in die Schutzbedarfsfeststellung. Prüfen Sie außerdem, ob das System aus dem Internet erreichbar ist, und dokumentieren Sie das Ergebnis im Informationsverbund. Die Umsetzung erkennen Sie daran, dass Betreiber, Version und Patchdatum im Register stehen. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank tauchen solche Hilfssysteme in Bestandslisten oft zuletzt auf. Qvestcon empfiehlt deshalb, sie in die regelmäßige Bestandsprüfung aufzunehmen.
Qvestcon News
Zammad: kritische Lücken erlauben Root-Rechte
Das BSI CERT-Bund stuft die Meldung WID-SEC-2026-3694 zum Helpdesk- und Ticketsystem Zammad als kritisch ein. Die Erstveröffentlichung war am 1. Oktober 2026. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen ausnutzen, um beliebigen Programmcode mit Benutzerrechten auszuführen und um Root-Rechte zu erlangen. Die Meldung nennt die Kennungen CVE-2026-102489 und CVE-2026-102490. Der Hersteller hat am 8. Oktober 2026 die Version 7.2.2 veröffentlicht. Als betroffen führt die Meldung unter anderem Versionen bis 7.1.3 sowie Versionen vor 7.2.2. So setzen Sie es um: Klären Sie zuerst, ob in Ihrem Haus Zammad eingesetzt wird, auch als Fachbereichslösung außerhalb der zentralen IT. Prüfen Sie dann die installierte Version und stellen Sie sicher, dass die Version 7.2.2 oder neuer läuft. Tickets können Kundendaten und Zugangsinformationen enthalten, deshalb gehört das System in die Schutzbedarfsfeststellung. Prüfen Sie außerdem, ob das System aus dem Internet erreichbar ist, und dokumentieren Sie das Ergebnis im Informationsverbund. Die Umsetzung erkennen Sie daran, dass Betreiber, Version und Patchdatum im Register stehen. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank tauchen solche Hilfssysteme in Bestandslisten oft zuletzt auf. Qvestcon empfiehlt deshalb, sie in die regelmäßige Bestandsprüfung aufzunehmen.
Diese Einordnung bezieht sich auf die verlinkte Originalquelle. Sie ist keine Rechtsberatung im Einzelfall.