Exploitée Ajout récentCompromission à rechercher (CISA)

CVE-2026-102490

Zammad GmbH Zammad Improper Privilege Management Vulnerability

9,8 Critique Note CVSSNote CVSSNote de gravité de 0 à 10, calculée selon une méthode internationale (CVSS). 9 ou plus : critique ; de 7 à 8,9 : élevée ; de 4 à 6,9 : moyenne. Elle mesure la gravité technique de la faille, pas le risque chez vous.

Note de la NVD. Collectée le 04/10/2026.

Exploitée depuisCatalogue KEVLa liste officielle, tenue par l’agence américaine de cybersécurité (CISA), des failles dont l’exploitation par des attaquants est constatée. Une faille n’y entre qu’avec des preuves.: 2 octobre 2026
RançongicielRançongicielSelon la CISA, des groupes de rançongiciels (qui chiffrent les données contre rançon) utilisent cette faille.: Aucune connue
Délai CISADélai CISADélai de correction imposé aux administrations fédérales américaines. Il ne s’applique pas en France, mais c’est un bon repère d’urgence.: 3 jours
Alerte CERT-FRAlerte CERT-FRLe CERT-FR, centre de réponse aux incidents de l’ANSSI, publie une alerte quand une faille est exploitée à grande échelle ou vise la France. « En cours » : l’alerte n’est pas close.: Aucune

En bref

La CISA demande de rechercher des traces de compromission : corriger ne suffit pas si l’équipement a déjà été attaqué.

Produit touché : Zammad GmbH Zammad (catégorie Autres produits, classement indicatif). Nom au catalogue de la CISA : Zammad GmbH Zammad.

Que faire ?

Appliquez les correctifs ou mesures de Zammad GmbH ; s’il n’en existe pas, cessez d’utiliser le produit. Commencez par les équipements accessibles depuis Internet.

La CISA demande aussi de rechercher des traces de compromission : corriger ne suffit pas si l’équipement a déjà été attaqué.

Délai fixé par la CISA aux agences fédérales américaines : 3 jours (échéance le 5 octobre 2026). Il ne s’impose pas en France, mais c’est un repère d’urgence.

Le bulletin précis de la marque figure dans les références de la NVD : CVE-2026-102490 sur le site de la NVD.

Texte original de la consigne (CISA, en anglais)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA's BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA's "Forensics Triage Requirements" (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Chronologie

30 septembre 2026 Faille publiée Date de publication (NVD)
2 octobre 2026 Exploitation reconnue Ajout au catalogue KEV de la CISA
5 octobre 2026 Échéance CISA Date limite de correction fixée aux agences fédérales américaines

Les faits, avec leur source

Chaque valeur avec sa source et sa date de collecte. Ouvrir pour le détail.

Exploitation reconnue: Oui, le 2 octobre 2026 Date d’ajout au catalogue des failles exploitées. L’exploitation elle-même peut être antérieure. Source : Catalogue KEV, collectée le 4 octobre 2026 à 06:32 UTC
Rançongiciel: Aucune utilisation connue à ce jour Cela ne garantit pas qu’elle ne soit pas utilisée : l’information n’est pas publique. Source : Catalogue KEV, collectée le 4 octobre 2026 à 06:32 UTC
Recherche de compromission: Demandée par la CISA Source : Catalogue KEV, collectée le 4 octobre 2026 à 06:32 UTC
Consigne de la CISA: Appliquez les correctifs ou mesures de Zammad GmbH ; s’il n’en existe pas, cessez d’utiliser le produit. Commencez par les équipements accessibles depuis Internet. Traduction du site, d’après le texte original de la CISA. Source : Catalogue KEV, collectée le 4 octobre 2026 à 06:32 UTC
Échéance CISA: 5 octobre 2026, délai de 3 jours Fixée aux agences fédérales américaines : un repère d’urgence, pas une obligation en France. Source : Catalogue KEV, collectée le 4 octobre 2026 à 06:32 UTC
Publication de la faille: 30 septembre 2026 Source : National Vulnerability Database (NVD), collectée le 4 octobre 2026 à 06:36 UTC
Produit selon la CISA: Zammad GmbH Zammad Rangé par le site dans la catégorie « Autres produits » (classement indicatif). Source : Catalogue KEV, collectée le 4 octobre 2026 à 06:32 UTC
Vecteur CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H Détail technique de la note : mode d’attaque, complexité, impacts. Source : National Vulnerability Database (NVD), collectée le 4 octobre 2026 à 06:36 UTC

Description

All versions of Zammad including the latest alpha enable the local zammad user to escalate privileges to root.

Zammad GmbH Zammad contains an improper privilege management vulnerability that can allow the local zammad user to escalate privileges to root. This vulnerability can be chained with CVE-2026-102489.

Résumé de la CISA (catalogue KEV), en anglais.

Avis du CERT-FR

Aucun avis parmi les dernières publications du CERT-FR suivies par ce site. Cela ne veut pas dire qu’il n’en existe pas.

Informations réutilisées sous Licence Ouverte 2.0 (Etalab), date de dernière mise à jour indiquée à chaque avis. Ce site n'est ni affilié à l'ANSSI ni approuvé par elle.

Sources de cette fiche

Catalogue KEV de la CISA : exploitation, date d’ajout, consigne, échéance, rançongiciel.
NVD (NIST) : gravité CVSS, date de publication, description, références de la marque.
CERT-FR : avis et alertes.
Marque et catégorie : classement indicatif du site (méthode).