先說結論：自建 Zammad 客服系統若仍停在 6.5 或更舊版本，應優先處理 CVE-2026-102489。Zammad 十月一日官方社群聲明說，舊版的執行環境使此問題可被利用，7.0 起雖仍有相關程式碼，實際環境條件使它無法被利用，7.2.0 又加入強化；DIVD 的原始調查也區分這兩段條件。CISA 十月二日把 CVE 納入已知遭利用清單。本文十月四日重新核對三個獨立官方或原研究來源，說明可確認與仍有爭議的部分，不把所有 Zammad 版本寫成相同風險。
背景與前因：Zammad 是處理客服請求與工單的系統，通常連接組織身分、郵件和內部資料。荷蘭漏洞揭露研究機構 DIVD 在調查自身事件時發布兩個 Zammad CVE，並陸續通知可能受影響的管理者；這篇聚焦 CVE-2026-102489。Zammad 在十月一日公開對研究的回應，提供自己對不同版本環境條件的看法。CISA 十月二日納入 KEV，表示已有利用證據，但清單不替所有產品分支詳細判定能否利用。原始研究、供應商回應和政府清單各回答不同問題，應並讀而不是只轉述單一標題。
原因與前置條件：DIVD 將這個問題描述為舊版 Zammad 可能被用來取得以 Zammad 使用者身分執行程式及洩漏工作階段資訊。工作階段是系統記住已登入使用者身分的暫時狀態，若被不當取得可能造成未授權存取。Zammad 表示可利用性取決於舊版採用的執行環境：6.5 與更早版本存在實際風險，7.0 及以後版本的環境條件使相同路徑不可實際利用。這並非說新版一切安全問題都不存在，也不是替同時披露的另一個提權 CVE 下結論。文章不提供程式、工作階段操作或入侵鏈細節。
影響範圍：DIVD 公開資料指出 6.3.0 到 6.5.x 相關範圍有可利用風險，7.0.0 到 7.1.3 的程式問題仍可見，但因環境條件無法實際利用。Zammad 聲明說 6.5 與更早版本已停止支援，7.0 起不受這一項可利用情境影響，7.2.0 對相關程式碼又做加固。雙方措辭看似不同，核心差別是『程式碼存在』與『在現有環境可被實際利用』。維運者不能只憑掃描器看到某段程式便宣稱 7.x 一定已被入侵，也不能讓 6.x 因為本地暫無告警就長期不上新版。
這個事件至少有兩個需要分開閱讀的官方時間點。Zammad 在 2026-10-01 公開與 CVE-2026-102489 相關的產品資訊；CISA 於 2026-10-02 將同一編號收錄於已知遭利用漏洞目錄。後者又稱 KEV，是政府用來標示已有利用證據、應提高處置優先級的公開清單。收錄日期不等於漏洞首次出現，也不會替任何單一單位證明資產已被攻破。本文在 2026-10-04 重新取得兩份來源，將原始事件與本次查核日期分開標示。
風險判斷應回到具體產品與部署條件。官方與研究方都區分程式碼存在與新版實際可利用條件，沒有證明所有 Zammad 7.x 部署可被本 CVE 利用；另一提權編號仍有未解公開爭議。即使漏洞已列入 KEV，也不能把全球的利用證據直接寫成讀者所在環境的事件報告；相反地，沒有看到本地告警同樣不足以保證從未有人嘗試存取。應先確認自己是否真正使用 使用 Zammad 6.5 或更早版本的自建服務及需核查的新版部署，再把版本、可達性、服務角色和可用的紀錄放在同一個判斷框架內，避免只憑產品名稱或嚴重度分數作結論。
你可以怎麼做：先清查正式、測試與備援 Zammad 的版本、公開可達性、部署環境與支援狀態。仍在 6.5 或更早支線的單位應依 Zammad 建議安排遷移至現行穩定版 7.2.0，先備份資料、檢查擴充套件與認證整合，更新後驗證登入、工單流轉及郵件收發。若懷疑工作階段或應用程式帳號遭濫用，先保存網頁、應用與身分驗證紀錄，再讓授權應變人員決定輪替或隔離。對 7.x 亦應核對最新公告，不因這項 CVE 的環境限制而忽視一般安全更新。CVE-2026-102490 的範圍仍有公開爭議，要另外追蹤，不把 7.2.0 宣稱為該項已確定修補。
盤點時可以把每一個Zammad 實例寫成可追蹤的一列：產品與型號、目前版本、部署位置、管理責任人、對外或對內的可達性、資料最後確認時間，以及是否另有備援、測試或長期離線的副本。集中管理平台的清單可能漏掉尚未回報的設備，資產標籤也可能與實際運行版本不同；因此重要節點應由現場或受信任的管理介面再核對。把例外與期限記在同一份紀錄，比口頭說『都已檢查』更能支援後續複查。
修補完成的判斷不能只停在工單或下載紀錄。安排Zammad 穩定版遷移之前，先按既有維運程序保存必要設定、確認支援與相容性，並準備回復方案；完成後從實際提供服務的節點讀取版本或修補狀態，測試最重要的正常工作流程。若同一服務有多個節點，應逐一驗證，避免流量切換後又落回未更新的副本。原廠日後可能更改修補路徑，本文記錄的是本次查核時可取得的官方資訊，更新工作仍應以最新公告為準。
事件應變和版本更新雖然相關，卻不是同一個檢查。版本落後足以支持儘快修補，未必證明曾遭利用；完成更新降低後續暴露，也不能倒推過去絕無異常。若既有監控出現可疑跡象，應保存原始日誌、時間線及必要的組態差異，交由有權限的資安或維運人員依組織流程判讀。公開文章不應包含任何真實憑證、個資、內部位址或可操作的利用步驟，以免在通報風險時增加新的暴露。
這個案例的價值在三份來源之間的差異。DIVD 是事故調查及研究方，描述觀察到的漏洞與版本；Zammad 是維護方，指出新版實際環境不可利用並提供更新路徑；CISA KEV 是已知利用的政府目錄。三者合起來支持優先處理舊版，但無法替每個站點做入侵判定。另一個 CVE-2026-102490 涉及本機提權，Zammad 聲明當時表示尚未收到可驗證的技術細節；本篇不替雙方裁決它的完整影響，也不把兩個漏洞混為同一缺陷。對使用者而言，最可核實的第一步仍是讀回實際版本和更新紀錄。
仍須由使用單位自行回答的問題是：目前有多少Zammad 實例、哪些仍在受影響版本、Zammad 穩定版遷移是否覆蓋正式與備援環境，以及保留的紀錄能否支持事件調查。Zammad 與 CISA 的公開資料提供產品界線和優先處置訊號，卻不能替每個現場完成資產盤點。若無法取得相應修補或環境已停止安全支援，應向供應商確認替代方案並記錄風險處置，不把臨時隔離措施描述成漏洞已經修復。
這篇補刊聚焦 CVE-2026-102489，原廠事件日期為 2026-10-01，CISA KEV 收錄日為 2026-10-02，兩個官方來源在 2026-10-04 重新查核。可交付的工作是確認 使用 Zammad 6.5 或更早版本的自建服務及需核查的新版部署 的實際部署範圍、按原廠指引完成Zammad 穩定版遷移、回讀結果並追蹤例外。公開公告支持修補優先級，並不等於任一特定讀者已遭入侵或資料外洩；最終影響仍須由現場證據和專業調查判定。
官方來源：
- Zammad statement on vulnerability reports in DIVD case DIVD-2026-00015（Zammad）
- Known Exploited Vulnerabilities Catalog — CVE-2026-102489（CISA）
- DIVD-2026-00015 — Vulnerabilities in Zammad（DIVD CSIRT）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。