開源客服工單系統 Zammad 兩個漏洞列入 KEV：CISA 的處理期限是 10 月 5 日，提權漏洞的修補版 7.2.2 在 10 月 8 日才發布；被這兩個漏洞入侵的是荷蘭漏洞揭露組織 DIVD 自己
趨勢新聞2026 年 10 月 12 日
美國網路安全暨基礎設施安全局（CISA）2026 年 10 月 2 日把開源客服工單系統 Zammad 的兩個漏洞列入「已知遭利用漏洞」（KEV）目錄，聯邦機關的處理期限是 10 月 5 日：CVE-2026-102489 是工作階段固定（session fixation）漏洞，可導致以 zammad 帳號身分遠端執行程式碼；CVE-2026-102490 讓本機的 zammad 帳號提權到 root，兩者可以串接。Zammad 為 102490 發布的修補版 7.2.2 在 10 月 8 日才推出，比 CISA 的期限晚三天。漏洞的發現經過也不尋常：被這兩個漏洞打進去的，是專做漏洞協調揭露的荷蘭組織 DIVD 自己的工單系統。
DIVD 的事件案 DIVD-2026-00014 寫，攻擊者 9 月 21 日用這兩個零時差漏洞入侵 DIVD 對外收信用的 Zammad 主機，取得 root 後用 AI 代理人繼續攻擊；DIVD 的判斷依據是短時間內的攻擊規模與產生的大量攻擊產物，以及攻擊腳本附有註解與說明，「代理人似乎在腳本註解裡互相對話」（本站譯）。DIVD 自己列的數字：偵測花 19 分鐘，首次回應花 19 小時，之後執行圍堵方案又花 9 小時。DIVD 9 月 24 日通報 Zammad，9 月 26 日掃描網路上可公開連線的 Zammad 並通知主機擁有者，同日做了有限度揭露。
兩個漏洞，三種說法
DIVD 的漏洞案 DIVD-2026-00015 寫：102489 影響 6.3.0 到 6.5.4，7.0.0 到 7.1.3 雖然有同樣的程式錯誤，但因環境條件無法利用；102490 影響 1.5.0 到 7.1.0-alpha，摘要寫「包括最新 alpha 在內的所有版本」（本站譯）。DIVD 的建議是升到第 7 版，或把系統下線。CVE 紀錄由 DIVD 以 CNA 身分發布，CVSS 4.0 分數 102489 是 8.7、102490 是 8.5，兩者串接評 9.4。
Zammad 10 月 1 日在官方社群論壇發聲明，對兩個漏洞的說法不同。102489：8 月就收過通報並分析過，只有 6.5 與更舊的版本因執行環境可被利用，那些版本早已停止支援，7.0 與更新版本不受影響，7.2.0 仍加固了相關程式。102490：截至聲明時「DIVD 沒有給我們任何技術細節」（本站譯），無法確認漏洞、範圍或受影響版本；Zammad 並寫，DIVD 9 月 24 日通報、9 月 26 日就公開，「我們不認為這是負責任的漏洞處理方式」（本站譯）。同一天稍晚，Zammad 在同一串回覆已收到 DIVD 的細節，並說這個漏洞單獨無法遠端利用，攻擊者必須已經進到伺服器。
10 月 8 日的 GitHub 安全公告 GHSA-p97w-927q-8vxq 給了第三種、也是最具體的範圍：只有用 packager.io 打包的 DEB 與 RPM 套件安裝受影響，從原始碼或官方容器映像安裝的不受影響；受影響的套件版本是 7.2.1 以前的全部版本，7.2.2 修補。原因是服務程序先以 root 啟動，執行 zammad 帳號可寫的檔案後才降權，安裝目錄也可被 zammad 帳號寫入；服務停止會自動重啟，已能以 zammad 帳號寫入檔案的攻擊者，可能在幾秒內提權。CVE 紀錄的最後更新也在 10 月 8 日，現在的內容同樣把受影響範圍限定在 DEB 與 RPM 套件。
CISA 的期限與修補版的先後
把日期排起來：KEV 10 月 2 日列入、期限 10 月 5 日；Zammad 7.2.1 在 10 月 6 日發布，一次修了 27 個安全問題（GitHub 公告 2 個重大、12 個高、10 個中、3 個低），但不含 102490；7.2.2 在 10 月 8 日發布，才修 102490。KEV 條目要求依廠商指示緩解，沒有緩解措施就停用產品，並把「鑑識初判」（forensicTriage）欄標為 Yes。本站的讀法：在 10 月 5 日之前，用 DEB 或 RPM 安裝 Zammad 的單位照 DIVD 建議升到第 7 版，可以避開 102489 的利用條件，102490 的風險還在；依公開的發布紀錄，它的正式修補版到 10 月 8 日才推出。
各家怎麼報
iThome（10 月 3 日）寫的受影響版本與 DIVD 當時的案件頁相符，CVSS 分數（8.7、8.5、串接 9.4）與 CVE 紀錄一致，處理建議引的是 DIVD 的「升到第 7 版或離線」，沒有寫 Zammad 對 102489 範圍的不同說法。這篇發在 7.2.2 推出前五天，之後 CVE 紀錄已把 102490 的範圍改成 7.2.2 以前的 DEB/RPM 安裝。本站推論：在 7.2.2 推出前照這篇建議升到第 7 版的 DEB 或 RPM 主機，還要再升一次。