-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden aangetroffen in Zammad
Advisory ID     : NCSC-2026-0396
Versie          : 1.00
Kans            : high
CVE ID          : CVE-2026-102489, CVE-2026-102490
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Improper Handling of Insufficient Permissions or
                  Privileges
Uitgiftedatum   : 20260930
Toepassing      : Zammad GmbH Zammad
Versie(s)       :
Platform(s)     :

Beschrijving
   Er zijn twee zeroday-kwetsbaarheden aangetroffen in Zammad.

   De eerste kwetsbaarheid heeft het kenmerk CVE-2026-102489 toegekend
   gekregen. De kwetsbaarheid stelt een ongeauthenticeerde kwaadwillende
   op afstand in staat om willekeurige code uit te voeren. De
   kwetsbaarheid is aanwezig in Zammad versies 6.3.0 tot en met 6.5.4.
   De tweede kwetsbaarheid heeft het kenmerk CVE-2026-102490 toegekend
   gekregen. Deze kwetsbaarheid stelt een kwaadwillende die over lage
   rechten beschikt in staat om rootrechten te verkrijgen op het
   kwetsbare systeem. Deze kwetsbaarheid is aanwezig in alle gangbare
   versies van Zammad.
   De kwetsbaarheden worden in ieder geval sinds 21 september 2026
   actief misbruikt voor het op afstand verkrijgen van rootrechten op
   het systeem waar Zammad op draait.

Mogelijke oplossingen
   Zammad heeft beveiligingsupdates uitgebracht voor het verhelpen van
   CVE-2026-102489. Het NCSC adviseert om de updates met spoed te
   installeren. Stel applicatie- en netwerklogs veilig alvorens je deze
   updates installeert. Dergelijke loggegevens kunnen in een later
   stadium nodig zijn om vast te stellen of jouw Zammad-omgeving in de
   zeroday-fase is gecompromitteerd.
   De tweede kwetsbaarheid is vooralsnog niet verholpen. Neem contact op
   met je leverancier als je vragen over deze kwetsbaarheid hebt.

   Referenties:
      Reference
      https://csirt.divd.nl/DIVD-2026-00015

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=RMtG
-----END PGP SIGNATURE-----