Ausgerechnet das Support-Werkzeug wird zur offenen Tür. Die Helpdesk-Software Zammad, beliebt bei Vereinen, Agenturen und IT-Abteilungen, hat zwei Lücken, die sich zu einer kompletten Übernahme ohne ein einziges Passwort verketten lassen. Die US-Behörde CISA hat beide am 2. Oktober in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.
DER ERSTE SCHRITT: Eine geklaute Sitzung
CVE-2026-102489 ist eine sogenannte Session-Fixierungslücke mit CVSS-Wert 9,4. Vereinfacht gesagt: Ein Angreifer kann eine Sitzungskennung vorgeben oder vorhersagen und sich darüber in einen angemeldeten Zustand einschleichen — ganz ohne gültige Zugangsdaten. Am Ende dieses Schritts steht bereits Codeausführung als interner zammad-Nutzer. Betroffen sind die Versionen 6.3.0 bis 6.5.4 sowie 7.0.0 bis 7.1.3.
DER ZWEITE SCHRITT: Vom Dienstkonto zum Systemchef
CVE-2026-102490, ebenfalls mit CVSS 9,4 bewertet, ist eine Lücke in der Rechteverwaltung. Wer bereits als zammad-Nutzer auf dem System steht, kann darüber die Rechte bis auf Root-Ebene ausweiten — also die höchste Berechtigungsstufe überhaupt. Diese Lücke reicht noch weiter zurück, bis Version 1.5.0.
Verkettet ergibt sich daraus ein Albtraum-Szenario: Ein Angreifer mit nichts außer Netzwerkzugriff auf eine verwundbare Zammad-Instanz kommt ohne Passwort, ohne Phishing-Mail und ohne Social Engineering bis zum vollen Root-Zugriff auf dem Server durch.
SCHOCK-DETAIL: Entdeckt beim eigenen Einbruch
Besonders bemerkenswert ist, wie die Lücken ans Licht kamen: Das Dutch Institute for Vulnerability Disclosure (DIVD) stieß auf die beiden Zero-Days, während es den eigenen Einbruch untersuchte. Nach Angaben von DIVD lief die komplette Kette vom ersten Zugriff bis zum Root-Zugriff in Sekunden ab — teils automatisiert durch einen KI-Agenten auf Angreiferseite. DIVD arbeitete anschließend mit Merlon Security an der Behebung und informiert aktiv Betreiber verwundbarer Instanzen.
WIE GROSS DAS PROBLEM IST
Zammad zählt nach eigenen Angaben über 2.000 Kunden mit insgesamt rund 55.000 Nutzerkonten. Das ist kein Nischenprodukt — viele davon laufen als selbst gehostete Instanz im Homelab oder auf einem kleinen Firmenserver, oft ohne dass jemand regelmäßig nach Updates schaut.
SO SCHÜTZT DU DEINE INSTANZ — in 10 MINUTEN
- Version prüfen: Liegt deine Zammad-Installation zwischen 6.3.0 und 7.1.3 (bzw. darunter), ist sie verwundbar.
- Sofort aktualisieren auf Zammad 7.2.0 oder neuer — das ist die offizielle Fix-Version.
- Kein Update sofort möglich? Dann die Instanz bis zum Patch vom Netz nehmen, statt sie offen laufen zu lassen.
- Nachsehen: Unerwartete Sitzungen, neue Admin-Konten oder ungewöhnliche Cron-Einträge im System prüfen — ein Patch entfernt keinen Angreifer, der schon drin war.
Für US-Bundesbehörden setzt CISA nach BOD 22-01 eine Frist bis zum 5. Oktober. Als Richtwert für alle anderen gilt: Wer bis dahin nicht gepatcht hat, ist spät.
FAZIT: Support-Software braucht genauso viel Pflege wie der Webserver
Der Fall zeigt wieder einmal: Tools, die man als Nebensache betrachtet — Helpdesk, Ticketsystem, Backup —, haben oft tiefe Rechte im System und sind deshalb ein lohnendes Ziel. Wer Zammad selbst hostet, sollte es in die gleiche Update-Routine einbauen wie den Webserver oder die Datenbank dahinter.