Zammad 세션 하이재킹 기반 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-102489)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTZammad 6.3.0 ~ 6.5.4 버전 (7.0.0 ~ 7.1.2 버전은 취약하나 현재 익스플로잇 불가)
공격자가 인증 없이 세션을 탈취하여 Zammad 사용자 권한으로 서버 내 임의 명령을 실행할 수 있음
즉시 최신 보안 패치가 적용된 버전(6.5.5 이상 또는 7.1.3 이상)으로 업데이트 수행
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND- 최신 버전 업데이트: 운영 중인 패키지 관리자를 통해 즉시 업데이트를 수행하십시오.
# Ubuntu/Debian 계열
sudo apt-get update
sudo apt-get install --only-upgrade zammad
# RHEL/CentOS 계열
sudo yum update zammad- 세션 강제 종료: 업데이트 적용 후, 기존에 탈취되었을 가능성이 있는 모든 활성 세션을 데이터베이스 레벨에서 초기화하거나 서비스를 재시작하여 무효화할 것을 권장합니다.
- WAF 보안 강화: 세션 쿠키(
_zammad_session)에 대한 비정상적인 접근 패턴이나 다중 IP에서의 동일 세션 사용을 탐지 및 차단하도록 설정하십시오.
코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
본 취약점은 Zammad의 세션 관리 로직에서 발생하는 세션 고정 및 변조(CWE-384) 결함으로 인해 발생합니다. 공격자는 유효한 세션 식별자를 탈취하거나 예측함으로써 인증 과정을 우회할 수 있습니다. 특히 6.3.0에서 6.5.4 사이의 버전에서는 탈취된 세션 권한을 이용해 내부 루비(Ruby) 환경에 접근하고, 최종적으로 'zammad' 시스템 사용자 권한으로 원격 코드 실행(RCE)이 가능함이 확인되었습니다. CISA KEV(Known Exploited Vulnerabilities)에 등재되어 실제 공격에 악용되고 있는 만큼, 노출된 인스턴스에 대한 즉각적인 대응이 필요합니다.
공식 보안 권고문 및 참조 링크
Zammad versions 6.3.0 to 6.5.4 are vulnerable a session hijack vulnerability that leads to remote code execution as the zammad user. The bug is also present in version 7.0.0 to version 7.1.2, but not exploitable due to changes in the underlying framework.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.