============================================================================== CISA CONFIRMA EXPLOTACIÓN ACTIVA DE DOS FALLAS EN ZAMMAD ============================================================================== Fuente: https://www.vantis.cl/noticias/cisa-kev-zammad-session-fixation-privilegios Publicado: 2026-10-05 (hora de Chile) Ambito: global · Criticidad: alta Descargado: 2026-10-12 06:22 (hora de Chile) COMO USAR ESTE ARCHIVO ---------------------- La regla SIGMA es la canonica: es el formato neutral del que se derivan las demas. Si tu SIEM no aparece aca, convierte esa con pySigma. Las traducciones a motores concretos se incluyen por conveniencia y ESTAN SIN VALIDAR CONTRA TU MODELO DE DATOS. Revisa los nombres de tabla, indice y campo antes de ponerlas en produccion. Una regla que no dispara por un campo mal escrito es peor que no tener regla. QUE NECESITAS TENER LOGUEADO ---------------------------- · Logs de acceso del servidor web / reverse proxy frente a Zammad (nginx, apache) · Log de auditoría interno de Zammad (cambios de rol y permisos de usuario) · Logs de WAF, si existe uno frente a la instancia · Logs de autenticación / SSO si Zammad está integrado con un proveedor de identidad ============================================================================== REGLA 1 de 5 · SIGMA (canonica, neutral) Posible explotación de escalamiento de privilegios en Zammad (CVE-2026-102490) ============================================================================== Requiere: Logs de acceso del reverse proxy/servidor web frente a Zammad con campos de método HTTP, ruta, query string y código de estado disponibles. title: Posible escalamiento de privilegios via API de Zammad id: e7b1a4c2-6f3d-4a8b-9c15-2d6f8a1b3e47 status: experimental description: Detecta llamadas a la API de usuarios de Zammad que modifican el rol/permiso, posible explotación de CVE-2026-102490. Regla conductual: no existen IOCs públicos confirmados para este CVE. references: - https://www.cisa.gov/news-events/alerts/2026/10/02/cisa-adds-two-known-exploited-vulnerabilities-catalog author: Vantis date: 2026-10-02 tags: - cve.2026.102490 - attack.privilege-escalation - attack.t1068 logsource: category: webserver detection: selection_metodo: cs-method: - 'PUT' - 'PATCH' selection_endpoint: cs-uri-stem|contains: '/api/v1/users/' selection_payload: cs-uri-query|contains: 'role' selection_exitoso: sc-status: 200 condition: selection_metodo and selection_endpoint and selection_payload and selection_exitoso fields: - c-ip - cs-username - cs-uri-stem - sc-status falsepositives: - Cambios de rol realizados legítimamente por administradores autorizados de Zammad - Integraciones automatizadas de aprovisionamiento de usuarios level: medium ============================================================================== REGLA 2 de 5 · SIGMA (canonica, neutral) Posible intento de fijación de sesión contra Zammad (CVE-2026-102489) ============================================================================== Requiere: Logs de acceso del reverse proxy/servidor web frente a Zammad con el query string completo de cada solicitud registrado (no truncado). title: Posible intento de fijacion de sesion contra Zammad id: 9c4a2e71-3b58-4d6f-8a01-f2d6b7c4e3a9 status: experimental description: Detecta solicitudes al endpoint de login de Zammad que incluyen un identificador de sesion predefinido en la URL, patron tipico de intento de session fixation. Hipotesis de deteccion, no confirmada contra una muestra real de explotacion de CVE-2026-102489. references: - https://www.cisa.gov/news-events/alerts/2026/10/02/cisa-adds-two-known-exploited-vulnerabilities-catalog author: Vantis date: 2026-10-02 tags: - cve.2026.102489 - attack.credential-access - attack.t1539 logsource: category: webserver detection: selection_login: cs-uri-stem|contains: '/login' selection_sesion_en_url: cs-uri-query|contains: - 'session_id=' - 'sid=' - 'JSESSIONID=' condition: selection_login and selection_sesion_en_url fields: - c-ip - cs-uri-stem - cs-uri-query falsepositives: - Integraciones SSO legitimas que propagan identificadores de sesion por URL - Enlaces de recuperacion de sesion generados por el propio Zammad en flujos validos level: medium ============================================================================== REGLA 3 de 5 · SPLUNK - SPL Zammad: cambio de rol vía API fuera de patrón esperado ============================================================================== Requiere: Logs de nginx/apache del reverse proxy frente a Zammad ingeridos en el índice web con campos uri_path, uri_query, method, status, src_ip y user disponibles. index=web sourcetype="nginx:access" uri_path="/api/v1/users/*" uri_query="*role*" (method="PUT" OR method="PATCH") status=200 | stats count min(_time) as primera_vez max(_time) as ultima_vez by src_ip user uri_path | where count>0 ============================================================================== REGLA 4 de 5 · MICROSOFT SENTINEL - KQL Zammad: posible explotación de CVE-2026-102490 vía logs de nginx reenviados a Syslog ============================================================================== Requiere: Ingesta de logs de acceso de nginx/apache del servidor frente a Zammad hacia la tabla Syslog vía Azure Monitor Agent, con el mensaje completo de la línea de acceso preservado. Syslog | where ProcessName has "nginx" | where SyslogMessage has "/api/v1/users/" and SyslogMessage has "role" | where SyslogMessage has_any ("PUT", "PATCH") | where SyslogMessage has " 200 " | project TimeGenerated, HostName, SyslogMessage ============================================================================== REGLA 5 de 5 · WAZUH / VERIFICACION EN HOST Zammad: cambio de rol de usuario detectado en log de acceso web ============================================================================== Requiere: Decodificador de logs de acceso web (nginx/apache) activo en el agente Wazuh que monitorea el servidor frente a Zammad, con la regla base 31101 (o el ID equivalente del decoder web instalado) disponible como padre. 31101 /api/v1/users/ role Posible explotacion de CVE-2026-102490 - cambio de privilegios via API de Zammad zammad,privilege_escalation,cve_2026_102490, ============================================================================== FALSOS POSITIVOS ESPERABLES ============================================================================== Las reglas de cambio de rol via API generarán coincidencias legítimas cada vez que un administrador autorizado modifique permisos de otro usuario; antes de activarlas en modo de alerta, hay que levantar una lista base de cuentas administrativas que realizan esta tarea normalmente y excluirlas, o enviar la alerta como informativa para revisión diferida. La regla de fijación de sesión puede marcar integraciones SSO legítimas que propagan identificadores de sesión en la URL; si la organización usa una de estas integraciones, hay que agregar su patrón de URL a una lista de exclusión antes de subir el nivel de severidad. ============================================================================== Vantis Chile SpA · https://www.vantis.cl/noticias Analisis con fines defensivos. Reutilizable citando la fuente. ==============================================================================