"Zammad ยึด session สู่ RCE ถูกโจมตีจริง CVE-2026-102489"
"ผู้ดูแล Zammad 6.5 และเก่ากว่าควรเร่งอัปเดตทันที เพราะมีการใช้ช่องโหว่โจมตีจริงแล้ว"
1-minute summary
- Symptom / problem
- การยึด session อาจนำไปสู่การรันโค้ดจากระยะไกลด้วยสิทธิ์บัญชี zammad
- Who should read
- ผู้ใช้ Zammad สาย 6.5 และเก่ากว่าต้องเร่งตรวจรุ่น โดยผู้พัฒนาระบุว่าสาย 7.0 ขึ้นไปโจมตีช่องโหว่นี้ไม่ได้ใน runtime ที่ใช้
- Fix in short
- ย้ายออกจากรุ่นที่หมดการสนับสนุน โดย Zammad 7.2.0 มีการเสริมการป้องกันสำหรับ CVE นี้ และต้องติดตาม CVE-2026-102490 แยกด้วย
พอดีไล่ฟีด CISA KEV เจอ CVE-2026-102489 ใน Zammad ระบบ helpdesk และจัดการ ticket ที่มีช่องโหว่เกี่ยวกับ session จนเปิดทางให้รันโค้ดบนเซิร์ฟเวอร์ได้ เรื่องนี้มีการโจมตีจริงแล้ว CISA เพิ่มเข้ารายการเมื่อ 2 ตุลาคม 2026 และกำหนดวันครบกำหนดดำเนินการเป็น 5 ตุลาคม 2026 ตาม ข้อมูล KEV ของ CISA
เกิดอะไรขึ้น
CISA เรียกปัญหานี้ว่า Session Fixation ส่วน DIVD อธิบายว่าเป็นการยึด session ของผู้ใช้ ผลกระทบไม่ได้หยุดแค่การเข้าใช้งานแทนเจ้าของ session แต่สามารถนำไปสู่ Remote Code Execution (RCE) ด้วยสิทธิ์บัญชีระบบ zammad ได้ ตาม รายละเอียด CVE ของ DIVD
ถ้าผู้โจมตีใช้ร่วมกับ CVE-2026-102490 ซึ่งเป็นช่องโหว่ยกระดับสิทธิ์ภายในเครื่อง บัญชี zammad อาจไต่สิทธิ์ต่อไปเป็น root ได้ ต้องแยกสองขั้นนี้ให้ชัด CVE แรกเปิดทางให้รันโค้ด ส่วน CVE ที่สองใช้เพิ่มสิทธิ์หลังเข้าเครื่องได้แล้ว ผู้พัฒนาระบุว่าช่องโหว่ที่สองโจมตีจากระยะไกลด้วยตัวมันเองไม่ได้ ตาม ประกาศ Zammad
DIVD ให้คะแนน CVSS 4.0 ระดับ High ที่ 8.7 สำหรับช่องโหว่เดี่ยว และ Critical ที่ 9.4 สำหรับกรณีเชื่อมกับ CVE-2026-102490 คะแนนสองค่านี้เป็นคนละสถานการณ์ ไม่ควรใช้แทนกัน ตาม การประเมินของ DIVD
ใครโดนและรุ่นที่แก้
รายงานกรณีของ DIVD ระบุช่วง 6.3.0–6.5.4 ว่าได้รับผลกระทบ และระบุว่าปัญหามีอยู่ใน 7.0.0–7.1.3 ด้วย แต่โจมตีไม่ได้เพราะเงื่อนไขของสภาพแวดล้อม ส่วนประกาศผู้พัฒนาลงวันที่ 5 ตุลาคม 2026 ยืนยันว่าสาย 7.0 ขึ้นไปไม่ได้รับผลในทางปฏิบัติ และเพิ่มการป้องกันในโค้ดของ 7.2.0 ข้อมูลผู้พัฒนาส่วนนี้เผยแพร่หลังวันที่ข่าว KEV
| รุ่น Zammad | ผลกระทบและทางอัปเดต |
|---|---|
| 6.3.0–6.5.4 ตามคำบรรยาย DIVD | เสี่ยง RCE; ผู้พัฒนาให้ผู้ใช้สาย 6.5 และเก่ากว่าอัปเดตทันที |
| 7.0 ขึ้นไป | ผู้พัฒนาระบุว่า runtime ที่ใช้ทำให้โจมตี CVE นี้ไม่ได้ |
| 7.2.0 | มีการเปลี่ยนโค้ดเพื่อเสริมการป้องกัน CVE-2026-102489 |
ข้อมูล DIVD มีจุดที่ไม่ตรงกัน: คำบรรยายระบุ 6.3.0–6.5.4 แต่ตารางรุ่นและ CVE JSON ระบุถึงก่อน 6.5.4 ส่วนสาย 7 ในรายงานกรณีจบที่ 7.1.3 แต่คำบรรยาย CVE JSON จบที่ 7.1.2 เลยไม่ควรใช้ปลายช่วงเหล่านี้เป็นหลักฐานว่ารุ่นใดแก้แล้ว ผู้พัฒนายืนยันว่าสาย 6.5 และเก่ากว่าหมดการสนับสนุนและไม่ได้รับอัปเดตความปลอดภัยแล้ว ทางเลือกที่ควรใช้คือย้ายไปสายที่ยังได้รับการดูแล ตาม ประกาศผู้พัฒนา
ต้องทำอะไร
เริ่มจากตรวจรุ่น Zammad ที่ใช้งานจริงและวิธีติดตั้ง แล้วเตรียมสำรองข้อมูลก่อนอัปเกรดตามคู่มือที่ตรงกับระบบ สำหรับสายเก่าให้วางแผนย้ายไปสาย 7 ที่รองรับ โดย 7.2.0 เป็นรุ่นที่ผู้พัฒนาระบุว่ามีการเสริมการป้องกันในโค้ดของ CVE นี้ หลังอัปเกรดควรตรวจรุ่นซ้ำและทดสอบการเข้าสู่ระบบกับงาน ticket ที่จำเป็น
7.2.0 เป็นรุ่นเสริมการป้องกัน CVE-2026-102489 ส่วนช่องโหว่ยกระดับสิทธิ์ CVE-2026-102490 ในแพ็กเกจ DEB/RPM แก้ใน 7.2.2 ตาม advisory ผู้พัฒนาวันที่ 8 ตุลาคม 2026
ผู้พัฒนาแนะนำให้จำกัดการเข้าถึงตัวเซิร์ฟเวอร์ไว้เฉพาะผู้ดูแลที่เชื่อถือได้ ส่วน DIVD แนะนำให้อัปเกรดเป็นสาย 7 หรือหยุดให้บริการหากยังดำเนินการไม่ได้ และมีเครื่องมือตรวจ log ตาม Indicators of Compromise ให้ใช้ผ่าน หน้ารายงานกรณี การอัปเดตกับการตรวจร่องรอยควรทำควบคู่กัน เพราะการปิดช่องโหว่ไม่ได้ยืนยันว่าเครื่องไม่เคยถูกบุกรุก
ส่วนตัวผมให้เรื่องนี้เป็นงานเร่งด่วนสำหรับผู้ใช้สายเก่า เพราะมีการโจมตีจริงและมีทางต่อไปถึงสิทธิ์ root ที่มา: CISA KEV / CVE-2026-102489 และ Security Advisory ของ Zammad ดูแพตช์ของช่องโหว่ที่ใช้ต่อกันได้ใน Zammad GHSA-p97w-927q-8vxq ถ้ามีรายละเอียดแนวทางแก้เพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first