CISA confirma explotación activa de dos fallas en Zammad

El catálogo KEV suma una vulnerabilidad de fijación de sesión y otra de escalamiento de privilegios en la plataforma de mesa de ayuda. CISA no detalla el vector de explotación ni las versiones afectadas.

Qué pasó

El 2 de octubre de 2026, CISA sumó dos vulnerabilidades de Zammad GmbH a su catálogo KEV:

• CVE-2026-102489 — Session Fixation (fijación de sesión).
• CVE-2026-102490 — Improper Privilege Management (manejo indebido de privilegios).

Zammad es un software de mesa de ayuda y gestión de tickets open source, usado tanto en despliegues self-hosted como en modalidad gestionada. La inclusión en KEV significa que CISA tiene evidencia de explotación activa; no implica que la agencia haya publicado esa evidencia, y en este aviso no lo hizo.

Dato confirmado: ambas fallas están en explotación activa según CISA. Lo que no sabemos: qué versiones de Zammad son vulnerables, cuál es el vector técnico exacto, y si existe ya un parche publicado por el fabricante — el aviso de CISA no lo especifica y no encontramos, al momento de escribir, un advisory propio de Zammad GmbH que lo precise.

BOD 26-04 obliga a las agencias civiles federales de EE.UU. a remediar según el riesgo asignado por CISA. Esa directiva no aplica a organizaciones chilenas ni latinoamericanas, pero el catálogo KEV funciona de facto como referencia de priorización para cualquier equipo de seguridad, dentro o fuera de EE.UU.

Por qué importa acá

Zammad es software libre y se instala con facilidad en infraestructura propia; eso lo hace frecuente en pymes y áreas de soporte de organizaciones medianas en toda la región, incluido Chile, aunque no tenemos evidencia de despliegue masivo local y no la vamos a inventar. El ángulo real de esta pieza no es "a quién le pega en Chile" — hoy no hay dato que lo sostenga — sino un patrón que sí es trasladable: una falla de gestión de sesión combinada con una falla de privilegios en una aplicación web expuesta es exactamente el tipo de cadena que un atacante automatiza y escanea a nivel global, sin importar el país del dueño de la instancia.

Evaluación, confianza media: la combinación de ambas fallas sugiere una cadena de ataque (fijar sesión → escalar privilegio) más que dos incidentes independientes, porque ambas golpean el mismo subsistema de autenticación/autorización y fueron añadidas al KEV el mismo día. La explicación alternativa que no podemos descartar es que sean dos hallazgos de hardening no relacionados, reportados por separado y agrupados por CISA solo por coincidir en fecha y fabricante.

Si su organización —chilena o no— opera una instancia de Zammad expuesta a internet (soporte técnico, mesa de ayuda, atención a clientes), esto es parche-ya, no parche-este-mes. Un atacante con acceso administrativo a un helpdesk típicamente obtiene: historial de tickets con datos personales de clientes, credenciales o tokens compartidos por soporte, y un punto de pivote hacia sistemas internos vinculados vía integraciones.

Sobre corroboración: esta alerta llega de una sola fuente primaria, CISA. Según nuestro criterio de corroboración, dos fuentes primarias o tres fuentes cualesquiera bastan para afirmar un patrón más amplio (por ejemplo, una campaña activa contra instancias específicas); con una sola fuente no corresponde afirmar eso, y no lo hacemos. Lo que sí es un hecho verificado por una fuente primaria confiable es la inclusión en el catálogo KEV y la explotación activa que esa inclusión certifica.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — La vulnerabilidad de fijación de sesión (CVE-2026-102489) es explotable de forma remota contra la interfaz web de Zammad, consistente con esta técnica de acceso inicial.
• T1539 — El efecto práctico de una fijación de sesión exitosa es equivalente a robar la cookie de sesión de la víctima: el atacante controla un identificador de sesión que la víctima terminará autenticando.
• T1068 — CVE-2026-102490 corresponde directamente a un fallo de manejo de privilegios, explotable una vez que el atacante ya cuenta con una sesión (fijada o propia) dentro de la plataforma.

title: Posible escalamiento de privilegios via API de Zammad
id: e7b1a4c2-6f3d-4a8b-9c15-2d6f8a1b3e47
status: experimental
description: Detecta llamadas a la API de usuarios de Zammad que modifican el rol/permiso, posible explotación de CVE-2026-102490. Regla conductual: no existen IOCs públicos confirmados para este CVE.
references:
    - https://www.cisa.gov/news-events/alerts/2026/10/02/cisa-adds-two-known-exploited-vulnerabilities-catalog
author: Vantis
date: 2026-10-02
tags:
    - cve.2026.102490
    - attack.privilege-escalation
    - attack.t1068
logsource:
    category: webserver
detection:
    selection_metodo:
        cs-method:
            - 'PUT'
            - 'PATCH'
    selection_endpoint:
        cs-uri-stem|contains: '/api/v1/users/'
    selection_payload:
        cs-uri-query|contains: 'role'
    selection_exitoso:
        sc-status: 200
    condition: selection_metodo and selection_endpoint and selection_payload and selection_exitoso
fields:
    - c-ip
    - cs-username
    - cs-uri-stem
    - sc-status
falsepositives:
    - Cambios de rol realizados legítimamente por administradores autorizados de Zammad
    - Integraciones automatizadas de aprovisionamiento de usuarios
level: medium

title: Posible intento de fijacion de sesion contra Zammad
id: 9c4a2e71-3b58-4d6f-8a01-f2d6b7c4e3a9
status: experimental
description: Detecta solicitudes al endpoint de login de Zammad que incluyen un identificador de sesion predefinido en la URL, patron tipico de intento de session fixation. Hipotesis de deteccion, no confirmada contra una muestra real de explotacion de CVE-2026-102489.
references:
    - https://www.cisa.gov/news-events/alerts/2026/10/02/cisa-adds-two-known-exploited-vulnerabilities-catalog
author: Vantis
date: 2026-10-02
tags:
    - cve.2026.102489
    - attack.credential-access
    - attack.t1539
logsource:
    category: webserver
detection:
    selection_login:
        cs-uri-stem|contains: '/login'
    selection_sesion_en_url:
        cs-uri-query|contains:
            - 'session_id='
            - 'sid='
            - 'JSESSIONID='
    condition: selection_login and selection_sesion_en_url
fields:
    - c-ip
    - cs-uri-stem
    - cs-uri-query
falsepositives:
    - Integraciones SSO legitimas que propagan identificadores de sesion por URL
    - Enlaces de recuperacion de sesion generados por el propio Zammad en flujos validos
level: medium

index=web sourcetype="nginx:access" uri_path="/api/v1/users/*" uri_query="*role*" (method="PUT" OR method="PATCH") status=200
| stats count min(_time) as primera_vez max(_time) as ultima_vez by src_ip user uri_path
| where count>0

Syslog
| where ProcessName has "nginx"
| where SyslogMessage has "/api/v1/users/" and SyslogMessage has "role"
| where SyslogMessage has_any ("PUT", "PATCH")
| where SyslogMessage has " 200 "
| project TimeGenerated, HostName, SyslogMessage

<rule id="100201" level="10">
  <if_sid>31101</if_sid>
  <url>/api/v1/users/</url>
  <regex>role</regex>
  <description>Posible explotacion de CVE-2026-102490 - cambio de privilegios via API de Zammad</description>
  <group>zammad,privilege_escalation,cve_2026_102490,</group>
</rule>

Fuentes

• CISACISA Adds Two Known Exploited Vulnerabilities to Catalog · 2026-10-02
• CVE.orgCVE-2026-102489 — Zammad Session Fixation Vulnerability · 2026-10-02
• CVE.orgCVE-2026-102490 — Zammad Improper Privilege Management Vulnerability · 2026-10-02
• CISABinding Operational Directive (BOD) 26-04: Prioritizing Security Updates Based on Risk · 2026-10-02

Relacionado