Zammad ยกระดับสิทธิ์เป็น root ถูกโจมตีจริง CVE-2026-102490
ผู้ดูแล Zammad แบบแพ็กเกจ DEB/RPM ควรเร่งตรวจรุ่นและอัปเดตเป็น 7.2.2 พร้อมตรวจร่องรอยการบุกรุก
1-minute summary
- Symptom / problem
- ผู้โจมตีที่เข้าถึงบัญชีบริการ zammad ได้แล้วอาจยกระดับเป็น root บนเครื่องได้
- Who should read
- กระทบ Zammad บน Linux แบบแพ็กเกจ DEB/RPM ตั้งแต่ 1.5.0 ถึงก่อน 7.2.2
- Fix in short
- อัปเดตเป็น 7.2.2 จำกัดการเข้าถึงเซิร์ฟเวอร์ และตรวจร่องรอยการโจมตีตามแนวทางผู้พัฒนา
พอดีไล่ฟีด CISA KEV เจอ Zammad ระบบจัดการงานแจ้งปัญหาและงานสนับสนุน มีช่องโหว่ CVE-2026-102490 ให้บัญชีบริการ zammad ยกระดับสิทธิ์เป็น root ได้ รายการนี้ถูกเพิ่มเข้า KEV วันที่ 2 ตุลาคม 2026 หมายถึงมีหลักฐานว่าถูกใช้โจมตีจริงแล้ว และ CISA กำหนดวันครบกำหนดดำเนินการไว้ที่ 5 ตุลาคม 2026 ตามรายการ KEV ทางการ
เกิดอะไรขึ้น
ปัญหาอยู่ที่แพ็กเกจ DEB และ RPM ซึ่งสร้างด้วย packager.io บริการเริ่มทำงานด้วยสิทธิ์ root แล้วเรียกใช้ไฟล์ที่บัญชีบริการเขียนได้ ก่อนลดสิทธิ์ลง ผู้โจมตีที่เขียนไฟล์ด้วยสิทธิ์บัญชีบริการได้เลยอาจยกระดับเป็นผู้ดูแลทั้งเครื่อง บริการที่ได้รับผลกระทบยังเริ่มใหม่อัตโนมัติเมื่อหยุดทำงาน ทำให้การยกระดับสิทธิ์ไม่ต้องรอผู้ดูแลเข้ามากดสั่ง ตามรายละเอียดทางเทคนิคของ Zammad
ช่องโหว่นี้ต้องอาศัยสิทธิ์บนเครื่องมาก่อน ผู้โจมตีต้องเขียนไฟล์ด้วยสิทธิ์บัญชีบริการได้ แต่ CISA ระบุว่าใช้ต่อกับ CVE-2026-102489 ได้ ซึ่งเป็นช่องโหว่ session fixation ที่อาจนำไปสู่การรันโค้ดด้วยบัญชี zammad ผลกระทบเลยอาจขยายจากแอปพลิเคชันไปถึงการควบคุมโฮสต์ ทั้งข้อมูล ความถูกต้องของระบบ และความพร้อมให้บริการ
CVE record ให้คะแนน CVSS v4.0 ของกรณี local privilege escalation ที่ 8.5 ระดับ High ส่วนกรณีเชื่อมกับ CVE-2026-102489 อยู่ที่ 9.4 ระดับ Critical ต้องแยกสองสถานการณ์นี้ออกจากกัน ไม่ควรใช้คะแนนการโจมตีต่อเนื่องมาอธิบายว่าช่องโหว่ local เปิดให้ทุกคนโจมตีผ่านเครือข่ายได้เอง
ใครโดนและรุ่นที่แก้
ตารางนี้ใช้ advisory ของผู้พัฒนาวันที่ 8 ตุลาคม 2026 ซึ่งออกหลังข่าว KEV วันที่ 2 ตุลาคม 2026 ส่วน CVE record ระบุว่ากระทบตั้งแต่ 1.5.0 ถึงก่อน 7.2.2 และให้สถานะรุ่นก่อน 1.5.0 เป็น unknown ขณะที่ advisory ผู้พัฒนาเขียนว่ากระทบแพ็กเกจทุกรุ่นที่ออกมา เลยไม่ควรถือว่ารุ่นก่อน 1.5.0 ปลอดภัย
| รูปแบบติดตั้ง / รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ / สถานะ |
|---|---|
| แพ็กเกจ DEB บน Linux: 1.5.0–7.2.1 | 7.2.2 |
| แพ็กเกจ RPM บน Linux: 1.5.0–7.2.1 | 7.2.2 |
| ติดตั้งจาก source หรือ official container images | ไม่ได้รับผลกระทบจาก CVE-2026-102490 |
อย่าดูเลขรุ่นอย่างเดียว ต้องตรวจวิธีติดตั้งด้วย การที่ source และ official container images ไม่ได้รับผลกระทบในรายการนี้ ไม่ได้หมายความว่าปลอดช่องโหว่อื่นทั้งหมด อ้างอิงขอบเขตแพ็กเกจและรุ่นแก้จากadvisory ของ Zammad
ต้องทำอะไร
ตรวจรุ่นที่ติดตั้งจริงและแหล่งแพ็กเกจก่อน จากนั้นสำรองข้อมูลและวางแผนอัปเดตเป็น 7.2.2 ตามขั้นตอนของผู้พัฒนา ตรวจให้แน่ใจว่า repository ที่ใช้งานมีรุ่นแก้แล้ว และตรวจเลขรุ่นซ้ำหลังอัปเดต พร้อมทดสอบการรับและจัดการ ticket เพื่อยืนยันว่าบริการยังทำงานได้
ระหว่างดำเนินการ ผู้พัฒนาแนะนำให้จำกัดการเข้าถึงเซิร์ฟเวอร์ไว้เฉพาะผู้ดูแลที่เชื่อถือได้ สำหรับ Zammad 6.5 และเก่ากว่านั้น ผู้พัฒนาระบุให้เร่งอัปเดตเพราะหมดการสนับสนุนแล้ว ตามประกาศวันที่ 5 ตุลาคม 2026
การเสริมความปลอดภัยใน 7.2.0 ที่ประกาศวันที่ 5 ตุลาคม 2026 กล่าวถึง CVE-2026-102489 ส่วนแพตช์ CVE-2026-102490 อยู่ใน 7.2.2 อย่าหยุดอัปเดตที่ 7.2.0 เพราะเข้าใจว่าแก้ครบแล้ว
เพราะมีการโจมตีจริงแล้ว ควรตรวจร่องรอยการบุกรุกควบคู่กับการแพตช์ รายการ KEV ระบุให้ดำเนินการตามคำแนะนำผู้พัฒนาและแนวทาง forensic triage ของ CISA หากไม่มีมาตรการลดความเสี่ยงให้หยุดใช้ผลิตภัณฑ์ การลงแพตช์ปิดช่องทางนี้ไม่ได้ยืนยันว่าเครื่องที่เคยถูกยึดกลับมาสะอาดแล้ว
ส่วนตัวผมให้รายการนี้เป็นงานเร่งสำหรับผู้ใช้แพ็กเกจ DEB/RPM เพราะมีการโจมตีจริงและผลกระทบถึง root ที่มา: CISA KEV — CVE-2026-102490, CVE Record และ Zammad Security Advisory หากมีรายละเอียดจากผู้พัฒนาเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first