CVE-2026-102490 Zammad｜更新判断と侵害確認

はじめに

2026 年 9 月 30 日、オランダの NCSC は、オープンソースのヘルプデスク・チケット管理システム Zammad の脆弱性 CVE-2026-102489 と CVE-2026-102490 が実際の攻撃に悪用されているとして、注意喚起を公開しました。10 月 2 日には、米国 CISA の KEV（Known Exploited Vulnerabilities）カタログにも両 CVE が追加されています。

本記事の主題である CVE-2026-102490 は、サーバー上の zammad ユーザーから root への権限昇格です。ベンダーは 7.2.0 への更新を推奨していますが、10 月 4 日時点で 7.2.0 は CVE-2026-102490 の修正版として公表されていません。そのため、「最新版へ更新すれば対応完了」とは判断しにくい状況です。

本記事では、Zammad を自己ホストしている情シス・Linux サーバーの運用担当者と、委託先へ対応状況を照会する担当者を対象に、更新判断と侵害確認の進め方を整理します。記載内容は、2026 年 10 月 4 日（日本時間）時点で確認した一次情報に基づきます。

結論として、CVE-2026-102490 は単独でリモートから悪用できるものではなく、攻撃者がすでにサーバー上でコードを実行できることが前提です。7.2.0 への更新は推奨対応ですが、10 月 4 日時点では CVE-2026-102490 の修正確認とは別に扱う必要があります。更新の前にログを保全し、更新後も侵害調査と修正情報の追跡を続けてください。

CVE-2026-102490 と CVE-2026-102489 の違い

両 CVE は、DIVD（Dutch Institute for Vulnerability Disclosure）が自組織への侵害を調査する過程で特定し、同じ調査案件 DIVD-2026-00015 で公表したものです。CVE-2026-102489 が外部からの侵入とコード実行、CVE-2026-102490 がその後の root への権限昇格を担います。

侵入から root への権限昇格までの関係

CNA である DIVD の CVE レコードと、ベンダーの声明を比較すると次のとおりです。

両 CVE のレコードには、2 件を連鎖させたシナリオの CVSS v4.0 スコア 9.4 も併記されています。9.4 は連鎖時の評価であり、CVE-2026-102490 単独のスコアではありません。また、CVE-2026-102489 は DIVD が「悪用できない」と表現する 7.0.0〜7.1.3 について、ベンダーは「影響しない」と表現しており、両者の表現は一致していません。

ベンダー側では、Zammad の GitHub Security Advisories を公開しているメンテナーが、コミュニティの告知スレッドで CVE-2026-102490 の前提条件を次のように説明しています。

参考: Zammad Community（ベンダーの追記、2026 年 10 月 1 日）
“This issue cannot be exploited remotely on its own.”
（この問題は、単独ではリモートから悪用できません。）
https://community.zammad.org/t/take-care-local-privilege-escalation-cve-2026-102490-is-reported-as-being-actively-exploited/21297

同じ追記では、攻撃者がすでにサーバーへアクセスできる必要があるとしています。ただし、CVE-2026-102489 のようなリモートからのコード実行と組み合わされると、外部から root 権限の取得まで進む可能性があります。DIVD の案件ページは、9 月 21 日に脆弱性が悪用されて自組織が侵害されたとしています。

zammad ユーザーとコンテナ内 root の区別

権限昇格の影響を判断する際は、次の 3 つを混同しないことが重要です。

OS 上の zammad ユーザー

Zammad のサービスを実行する OS 上のアカウントです。CVE-2026-102489 のコード実行はこの権限で行われ、CVE-2026-102490 はこの権限を起点に root を取得します。

Zammad のログインユーザー・管理者

Web 画面にログインするエージェントや管理者のアカウントです。公開されている CVE-2026-102490 の説明は、Web 画面の管理者権限ではなく、OS 上の zammad ユーザーを起点としています。

コンテナ内の root とホストの root

CVE レコードは対象プラットフォームに Linux と Docker を記載しています。Docker 環境で取得される root がコンテナ内にとどまるか、ホストへ及ぶかは、公開情報では確認できません。

Docker で動かしているから影響しない、とは判断できません。コンテナ内の root でも、そのコンテナから参照できるデータや接続情報は影響を受けます。特権モードや Docker ソケットのマウントを使っている構成では影響が広がり得るため、あわせて確認してください。

CISA KEV の記載と対応期限の扱い

CISA が GitHub で公開している KEV のデータでは、CVE-2026-102490 は次のように登録されています。CVE-2026-102489 も同日に追加され、同じ対応期限が設定されています。

この対応期限は、CISA の指令に基づく米国政府機関向けの期限であり、日本企業へ一律に適用される義務ではありません。一方で、KEV が緩和策の適用だけでなく使用中止や調査（フォレンジックトリアージ）まで求めている点は、自社の優先度を判断する材料になります。ランサムウェアでの利用が「Unknown」であることは、利用されていないという意味ではありません。

Zammad 脆弱性の影響バージョンと自環境の確認

CVE-2026-102490 の影響範囲は、情報源によって記載が一致していません（CVE レコード、DIVD の案件ページ）。影響範囲外と読める版を安全と判断せず、利用形態と稼働版を把握したうえで、判断を保留する項目を明確にします。

CVE-2026-102490 の影響バージョンの記載

参考: NCSC（オランダ）注意喚起（2026 年 9 月 30 日）
“De tweede kwetsbaarheid (CVE-2026-102490) is nog niet opgelost.”
（2 件目の脆弱性 CVE-2026-102490 は、まだ修正されていません。）
https://www.ncsc.nl/alerts/actief-misbruik-van-zeroday-kwetsbaarheden-in-zammad-update-nu

構造化された影響バージョン欄だけを見ると 7.1.0-alpha 以降は対象外に見えますが、説明文や NCSC の記載とは一致しません。7.1 系や 7.2.0 を「影響範囲外だから安全」と判断せず、ベンダーの判定が公表されるまでは影響を受ける可能性がある前提で扱うことを推奨します。

7.2.0 への更新と修正版の確認状況

ベンダーが推奨する 7.2.0 への更新で何が確認できていて、何が未確定なのかを分けると次のとおりです。

10 月 4 日時点で、Zammad の GitHub Security Advisories の一覧に CVE-2026-102490 の項目は見当たらず、リリース一覧の最新版も 7.2（9 月 23 日公開）でした。一覧に掲載がないことは、修正が存在しないことの証明ではありません。ベンダーは声明で、CVE-2026-102490 の続報の参照先として GitHub の Security Advisories を案内しています。

7.0 以降は CVE-2026-102489 の影響を受けないとされていますが、CVE-2026-102490 の前提は OS 上の zammad ユーザー権限を得ていることです。別の経路で実行権限を得た場合も権限昇格の前提が成立し得るため、7.x 系でも更新と露出の制限を後回しにしないことを推奨します。

利用形態別の確認項目

稼働版は、管理画面のシステム（System）区分にある「Version」で確認できます（Zammad Admin Documentation: Version）。そのうえで、利用形態ごとに次の項目を確認します。

自己ホスト（パッケージ）

稼働版、OS とそのサポート状況、インターネットからの到達可否、リバースプロキシの構成、Elasticsearch などの関連サービスの版を確認します。OS 側では、パッケージ管理ツールで zammad パッケージの版を確認できます（例: dpkg -l zammad、rpm -q zammad）。

自己ホスト（Docker / Docker Compose）

稼働版に加え、.env の VERSION 指定、公開しているポート、特権モードや Docker ソケットのマウントの有無を確認します。

SaaS（Zammad のホスティング）

利用者側でホストの更新作業は行いません。提供元へ、CVE-2026-102490 の影響有無、対応状況、侵害調査の結果と利用者への通知方針を確認します。SaaS であることだけを理由に、影響がないとは判断できません。

委託運用

委託先へ、稼働版、導入方式、公開経路、更新前のログ保全の有無、更新予定、侵害調査の実施状況と結果を照会します。

ログ保全と Zammad の更新手順

自己ホスト環境では、「露出の制限とログ保全 → 更新経路の確認 → 更新 → 稼働確認」の順に進めます。更新作業そのものは公式ドキュメントに従い、本記事では判断が必要なポイントを示します。

不審なプロセスやファイル、見覚えのないアカウント、想定外の通信など、すでに侵害の疑いがある場合は分岐が必要です。侵害の疑いがある場合は、通常の更新作業より、ネットワークからの隔離と証拠保全、社内 CSIRT や専門事業者への相談を優先してください。更新や再起動によって、調査に必要な痕跡が失われる場合があります。

log_archive="/root/zammad-logs-$(date +%Y%m%d%H%M%S).tar.gz"
sudo tar -czf "$log_archive" /var/log/zammad /var/log/nginx
sudo sha256sum "$log_archive"

docker compose logs --no-color --timestamps > zammad-compose-logs-$(date +%Y%m%d%H%M).log

sudo systemctl stop zammad
sudo apt update
sudo apt-mark hold zammad
sudo apt upgrade
sudo apt-mark unhold zammad
sudo apt upgrade

cd zammad-docker-compose
git pull
docker compose pull
docker compose up -d

更新後の侵害確認と修正状況の追跡

更新は今後の侵入経路を減らしますが、更新前に受けた侵害を取り除くものではありません。NCSC は、両 CVE が 2026 年 9 月 21 日から悪用されているとしています。保全したログを調べ、調査範囲と結果、未確認の範囲を記録します。

保全したログで確認する範囲

取得できたログに応じて、次の観点で確認します。調査期間は、少なくとも 9 月 21 日以降を対象とし、ログが残っている範囲でさかのぼることを推奨します。

• Zammad のアプリケーションログでは、エラー出力にセッション情報が含まれていないかを確認します（DIVD が CVE-2026-102489 の IoC として検査対象にしている観点です）。
• リバースプロキシのログでは、見覚えのない送信元からのアクセスや、管理画面・API への想定外のアクセスを確認します。
• OS 上では、zammad ユーザーによる想定外のシェル起動、新しく作成された root 所有のファイル、cron や SSH 鍵の追加を確認します。
• ネットワークログでは、Zammad サーバーからの想定外の外向き通信を確認します。

OS とネットワークの観点は、権限昇格を伴う侵害に対する一般的な確認項目であり、CVE-2026-102490 の公式な IoC ではありません。10 月 4 日時点で、ベンダーや DIVD による CVE-2026-102490 の IoC は確認できませんでした。

DIVD のログ検査スクリプトの範囲と注意点

DIVD は、案件ページ DIVD-2026-00015 でログ検査スクリプト（cve-2026-102489_ioc_check_script_v2.sh）を公開しています。入手は案件ページのリンクから行い、実行前に内容を確認してください。公開されている内容から確認できた仕様は次のとおりです。

• 対象は CVE-2026-102489 の IoC で、エラー出力に含まれるセッション情報（Cookie など）を検索します。CVE-2026-102490 の IoC を対象としたものではありません。
• 引数を省略した場合は /var/log/zammad と /var/log/nginx を対象とし、gzip 圧縮されたログも検索します。
• ディレクトリを指定した場合は、production.log、railsserver.log、websocket.log、scheduler.log、nginx.log、access.log、error.log で始まるファイルだけを対象にします。docker compose logs で保存したファイルなど別名のログは、ファイルパスを直接指定します。
• 検出時は、該当行と露出した Cookie の値を画面に表示します。出力は機密情報として扱い、共有する際は値を伏せます。
• 検索時の読み取りエラーは表示されず、ログが見つからない場合も終了コード 0 を返します。指定したログを読み取れる権限で実行し、出力される対象ファイル数と警告も確認してください。終了コード 0 だけで検査が成功したと判断しないことが重要です。

保全したログを展開したディレクトリやファイルを指定する場合は、次のように実行します。

sh cve-2026-102489_ioc_check_script_v2.sh /path/to/preserved/logs /path/to/zammad-compose-logs.log

スクリプト自身も、指標が見つからなかった場合に追加の調査を促しています。

参考: DIVD ログ検査スクリプト（cve-2026-102489_ioc_check_script_v2.sh）
“please investigate other signs of abuse like unfamiliar processes and files”
（見覚えのないプロセスやファイルなど、その他の悪用の兆候も調査してください。）
https://csirt.divd.nl/downloads/DIVD-2026-00015/cve-2026-102489_ioc_check_script_v2.sh

スクリプトで検出がない場合、ログが残っていない場合、調査対象期間が短い場合は、いずれも侵害されていないことの証明にはなりません。調査した範囲と期間を記録しておくことをおすすめします。

痕跡が見つかった場合の初動

不審な痕跡が見つかった場合は、サーバーをネットワークから隔離し、証拠を保全したうえで、社内 CSIRT や専門事業者へ相談します。そのうえで、Zammad が保持・接続している認証情報の影響を評価します。対象には、メールチャネル（IMAP / SMTP、Microsoft 365、Google）の認証情報、LDAP などの連携設定、API トークン、Webhook の接続先、データベースの資格情報、サーバーの SSH 鍵が含まれます。

秘密情報の変更は、侵害の疑いがあるサーバーとは別の安全な環境から行います。これらは一般的なインシデント対応の初動であり、ベンダーや DIVD が公表した手順ではありません。

対応完了を 4 つに分けて記録する

「更新が終わったので対応完了」とまとめてしまうと、未確定の項目が追跡されなくなります。次の 4 項目を別々に記録することを推奨します。

推奨版への更新が完了しても、CVE-2026-102490 の修正照合が終わるまでは、未完了の項目として追跡を継続してください。修正版や IoC が公表された場合は、保全したログをその情報で再確認します。

まとめ

CVE-2026-102490 は、侵入後に root 権限を得るための権限昇格であり、侵入経路となる CVE-2026-102489 とともに実悪用が報告されています。7.2.0 への更新は推奨対応ですが、10 月 4 日時点では本 CVE の修正確認とは別に扱い、ログ保全と侵害調査、修正情報の追跡を並行して進めることが重要です。

• CVE-2026-102490 は zammad ユーザーから root への権限昇格です。
• 単独では遠隔悪用できず、OS 上の zammad ユーザー権限を得ていることが前提です。
• 影響バージョンは CVE レコードの影響範囲欄と説明文で一致していません。
• 7.2.0 への更新は推奨対応ですが、本 CVE の修正確認とは別に扱います。
• 更新の前にアプリケーションとネットワークのログを保全します。
• DIVD のスクリプトは CVE-2026-102489 の IoC 確認用です。
• 修正版の公表は GitHub の Security Advisories で追跡します。

以上、最後までお読みいただきありがとうございました。