A CISA incluiu, em 2 de outubro de 2026, duas vulnerabilidades do Zammad — software de helpdesk e atendimento ao cliente de código aberto — em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV). A primeira, CVE-2026-102489, é uma falha de fixação de sessão (session fixation) que permite sequestro de sessão e execução remota de código com privilégios do usuário "zammad", afetando as versões 6.3.0 a 6.5.4 (a mesma falha existe nas versões 7.0.0 a 7.1.3, mas fatores do ambiente de execução dificultam a exploração nessa faixa). A segunda, CVE-2026-102490, é uma falha de gerenciamento inadequado de privilégios que permite escalonamento local até root, afetando versões de 1.5.0 a 7.1.0-alpha.
Segundo análises de segurança publicadas sobre o caso e confirmadas pela própria Zammad GmbH em comunicado à comunidade de usuários, as duas falhas podem ser encadeadas: um atacante explora primeiro a CVE-2026-102489 para obter execução de código no servidor e, em seguida, a CVE-2026-102490 para escalar a privilégios de root em poucos segundos — inclusive de forma automatizada. O prazo de remediação definido pela CISA para agências federais dos EUA é 5 de outubro de 2026. A correção está disponível a partir da versão 7.2.0 do Zammad.
Por que isso importa para uma PME brasileira: o Zammad é usado por muitas pequenas e médias empresas como alternativa de código aberto, mais barata, a ferramentas como Zendesk para atendimento ao cliente, help desk interno e suporte técnico — sistemas que concentram tickets, dados de clientes, anexos e, com frequência, credenciais ou informações sensíveis trocadas em conversas de suporte. Como a cadeia de exploração pode levar um atacante de sessão sequestrada a acesso root no servidor em questão de segundos, uma instância desatualizada e exposta à internet pode ser totalmente comprometida, dando acesso a toda a base de tickets e dados de clientes — o que pode configurar um incidente de segurança sujeito a comunicação à ANPD e aos titulares, conforme a LGPD.
O que fazer agora: atualize o Zammad para a versão 7.2.0 ou superior imediatamente, com prioridade máxima para quem ainda está nas versões 6.5.x ou anteriores. Se a atualização não puder ser aplicada de imediato, restrinja o acesso à instância apenas a redes internas ou VPN, ou considere colocá-la temporariamente offline. Revise os logs de acesso em busca de atividade suspeita, já que a exploração pode estar em curso em instalações desatualizadas expostas à internet.
Fonte primária: catálogo KEV da CISA (adicionado em 02/10/2026) e comunicado oficial da Zammad GmbH à comunidade de usuários.
