--- adresse: "https://qvestcon.com/dora-update-markus-junge/informationsverbund-pruefbar-dokumentieren_9f23781f/" titel: "Zammad: kritische Lücken erlauben Root-Rechte" beschreibung: "Das BSI CERT-Bund stuft die Meldung WID-SEC-2026-3694 zum Helpdesk- und Ticketsystem Zammad als kritisch ein. Die…" sprache: "de-DE" stand: "2026-10-19" --- Qvestcon News # Zammad: kritische Lücken erlauben Root-Rechte Das BSI CERT-Bund stuft die Meldung WID-SEC-2026-3694 zum Helpdesk- und Ticketsystem Zammad als kritisch ein. Die Erst­ver­öf­fent­li­chung war am 1. Oktober 2026. Ein entfernter, anonymer Angreifer kann mehrere Schwach­stel­len ausnutzen, um beliebigen Programmcode mit Benut­zer­rech­ten auszuführen und um Root-Rechte zu erlangen. Die Meldung nennt die Kennungen CVE-2026-102489 und CVE-2026-102490. Der Hersteller hat am 8. Oktober 2026 die Version 7.2.2 ver­öf­fent­licht. Als betroffen führt die Meldung unter anderem Versionen bis 7.1.3 sowie Versionen vor 7.2.2. So setzen Sie es um: Klären Sie zuerst, ob in Ihrem Haus Zammad eingesetzt wird, auch als Fach­be­reichs­lö­sung außerhalb der zentralen IT. Prüfen Sie dann die installierte Version und stellen Sie sicher, dass die Version 7.2.2 oder neuer läuft. Tickets können Kundendaten und Zugangs­in­for­ma­tio­nen enthalten, deshalb gehört das System in die Schutz­be­darfs­fest­stel­lung. Prüfen Sie außerdem, ob das System aus dem Internet erreichbar ist, und dokumentieren Sie das Ergebnis im Infor­ma­ti­ons­ver­bund. Die Umsetzung erkennen Sie daran, dass Betreiber, Version und Patchdatum im Register stehen. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank tauchen solche Hilfssysteme in Bestands­lis­ten oft zuletzt auf. Qvestcon empfiehlt deshalb, sie in die regelmäßige Bestands­prü­fung aufzunehmen. [Cyber](https://qvestcon.com/news/cyber/)01.10.2026 Das BSI CERT-Bund stuft die Meldung WID-SEC-2026-3694 zum Helpdesk- und Ticketsystem Zammad als kritisch ein. Die Erst­ver­öf­fent­li­chung war am 1. Oktober 2026. Ein entfernter, anonymer Angreifer kann mehrere Schwach­stel­len ausnutzen, um beliebigen Programmcode mit Benut­zer­rech­ten auszuführen und um Root-Rechte zu erlangen. Die Meldung nennt die Kennungen CVE-2026-102489 und CVE-2026-102490. Der Hersteller hat am 8. Oktober 2026 die Version 7.2.2 ver­öf­fent­licht. Als betroffen führt die Meldung unter anderem Versionen bis 7.1.3 sowie Versionen vor 7.2.2. So setzen Sie es um: Klären Sie zuerst, ob in Ihrem Haus Zammad eingesetzt wird, auch als Fach­be­reichs­lö­sung außerhalb der zentralen IT. Prüfen Sie dann die installierte Version und stellen Sie sicher, dass die Version 7.2.2 oder neuer läuft. Tickets können Kundendaten und Zugangs­in­for­ma­tio­nen enthalten, deshalb gehört das System in die Schutz­be­darfs­fest­stel­lung. Prüfen Sie außerdem, ob das System aus dem Internet erreichbar ist, und dokumentieren Sie das Ergebnis im Infor­ma­ti­ons­ver­bund. Die Umsetzung erkennen Sie daran, dass Betreiber, Version und Patchdatum im Register stehen. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank tauchen solche Hilfssysteme in Bestands­lis­ten oft zuletzt auf. Qvestcon empfiehlt deshalb, sie in die regelmäßige Bestands­prü­fung aufzunehmen. - [#Banken](https://qvestcon.com/stichwoerter/b/#banken) - [#Versicherer](https://qvestcon.com/stichwoerter/v-z/#versicherer) - [#Finanz­dienst­leis­ter](https://qvestcon.com/stichwoerter/f-h/#finanzdienstleister) - [#Prü­fungs­pla­nung](https://qvestcon.com/stichwoerter/n-q/#pruefungsplanung) - [#Qvestcon](https://qvestcon.com/stichwoerter/n-q/#qvestcon) - [#MarkusJunge](https://qvestcon.com/stichwoerter/k-m/#markusjunge) - [#ITSicherheit](https://qvestcon.com/stichwoerter/i-j/#itsicherheit) - [#Schwach­stel­len­ma­nage­ment](https://qvestcon.com/stichwoerter/r-u/#schwachstellenmanagement) [Ori­gi­nal­quelle: BSI CERT-Bund →](https://wid.cert-bund.de/content/public/content/batch/a19ba60f-b8d6-426d-9612-94f03d65442c) Diese Einordnung bezieht sich auf die verlinkte Ori­gi­nal­quelle. Sie ist keine Rechts­be­ra­tung im Einzelfall. [Kostenloses Erstgespräch anfragen →](https://qvestcon.com/kontakt/?von=News%3A%20Zammad%3A%20kritische%20L%C3%BCcken%20erlauben%20Root-Rechte#erstgespraech) [Weitere Meldungen in Cyber](https://qvestcon.com/news/cyber/) · [alle Qvestcon-News](https://qvestcon.com/news/)