DEVNURION · 보안 소식
Zammad 취약점 2건 권고…6.5 이하 운영자는 업데이트부터
원격 악용 가능성과 로컬 권한상승을 구분하고, 7.2.0의 보강 범위를 확인한다
- Zammad는 10월 5일 CVE-2026-102489·CVE-2026-102490의 영향과 대응을 설명했다.
- 첫 취약점은 6.5 이하에서 악용 가능하며, Zammad는 7.0 이상이 실제 환경에서는 영향받지 않는다고 평가했다.
- 두 번째는 사전 서버 접근이 필요한 로컬 권한상승 문제다. 구버전 업데이트와 서버 접근 제한을 함께 확인해야 한다.
고객지원 시스템의 보안 공지가 나오면 운영자는 자신의 버전이 영향을 받는지, 무엇을 먼저 바꿔야 하는지부터 확인해야 한다. 이번 Zammad 보안 권고는 두 취약점을 같은 종류의 원격 공격으로 묶지 않는 것이 첫 단계다.
10월 5일 공식 권고에는 Zammad의 현재 영향 평가와 관리자 조치가 정리돼 있다. 6.5 이하 사용자는 즉시 업데이트가 권고되지만, 7.x 운영자도 다른 로컬 권한상승 문제까지 자동으로 끝났다고 판단해서는 안 된다. 각 CVE의 조건과 해결 상태를 따로 봐야 한다.
CVE-2026-102489: 버전과 실행 환경이 핵심
Zammad는 CVE-2026-102489의 악용이 6.5 이하 버전의 실행 환경에서 가능하다고 설명한다. 해당 구버전들은 지원이 종료돼 보안 업데이트를 더 받지 못하는 상태라는 점도 명시했다. 운영 중인 버전이 이 범위에 해당한다면 유지 중인 서비스라는 이유만으로 대응을 미룰 근거는 없다.
7.0 이상은 실제 환경에서 영향을 받지 않는다는 것이 Zammad의 평가다. 회사는 추가 보강 차원에서 관련 코드를 변경했으며 이 변경이 Zammad 7.2.0에 포함됐다고 밝혔다. ‘7.0 이상도 동일하게 원격 악용된다’거나 ‘7.2.0 이전은 전부 같은 위험’이라고 쓰면 공식 설명과 범위가 달라진다.
CVE-2026-102490: 로컬 접근을 먼저 얻어야 한다
CVE-2026-102490은 로컬 권한상승 취약점이다. Zammad는 공격자가 기반 서버에 먼저 접근해야 하며, 이 문제만으로 원격 악용할 수는 없다고 평가한다. 로컬이라는 조건은 이미 서버 접근을 얻은 공격자의 권한이 확대될 가능성을 뜻하므로 대응에서 제외할 이유는 아니다.
공식 권고는 packager.io의 확인된 취약점과 연관돼 있다고 설명하고, 해결책을 우선순위 높게 마련 중이라고 밝혔다. 7.2.0의 코드 보강 안내는 첫 취약점에 관한 내용이다. 이를 두 번째 취약점까지 해결한 확정 패치라고 확대해서는 안 된다.
| 구분 | 공식 설명에서 확인할 범위 |
|---|---|
| CVE-2026-102489 | 6.5 이하 실행 환경에서 악용 가능; 7.0 이상은 실제 환경에서 영향 없음이라는 평가 |
| CVE-2026-102490 | 서버 사전 접근이 필요한 로컬 권한상승; 단독 원격 악용 불가라는 평가 |
| Zammad 7.2.0 | 첫 취약점 관련 추가 코드 보강 포함; 두 취약점 전체 해결로 일반화하지 않음 |
CISA KEV 등재는 버전 확인을 대신하지 않는다
제작 시 확인한 CISA의 공식 KEV 데이터에는 두 CVE가 모두 2026년 10월 2일 추가됐고, 조치기한 필드는 10월 5일로 기재돼 있다. CISA 설명은 세션 고정 문제에서 zammad 사용자 권한의 원격 코드 실행으로 이어질 수 있고, 로컬 권한상승 문제와 연계될 수 있다는 구조를 제시한다.
실제 악용된 취약점 목록이라는 신호와 자기 시스템의 영향 여부는 별개의 확인이다. 목록에 올라갔다고 내 서버가 이미 침해됐다고 단정할 수 없고, 두 항목이 있다는 이유로 모든 Zammad 버전이 동일하게 취약하다고 결론 내릴 수도 없다. 영향 판단에는 제조사 권고의 버전·실행 환경 조건을 함께 적용해야 한다.
KEV의 조치기한 필드를 모든 한국 운영자의 법적 의무나 공통 기한으로 옮기지는 않는다. 이 기사에서는 실제 악용 신호와 조치 우선순위를 확인하는 자료로 활용한다. 구체적인 의무 적용 여부는 이 콘텐츠의 범위에 포함하지 않는다.
관리자가 지금 확인할 대응 순서
먼저 현재 설치 버전과 배포 형태를 확인하고, 6.5 이하라면 Zammad의 즉시 업데이트 권고를 따른다. 동시에 기반 서버의 접근을 신뢰할 수 있는 관리자에게 제한하라는 공식 권고를 확인한다. 애플리케이션 버전 확인과 서버 접근 관리는 각각 다른 위험을 줄이는 조치다.
업데이트를 준비할 때는 자신의 설치 방식에 맞는 공식 문서에서 지원 버전, 업그레이드 경로와 필요한 작업을 확인하는 편이 안전하다. 백업·복구와 변경 검증은 운영팀이 준비할 항목이다. 서버 접근을 점검할 때는 물리적 출입뿐 아니라 관리자 계정과 원격 접근의 허용 범위도 확인하길 권한다. 이 기사는 환경별 패치 명령이나 검증하지 않은 우회 방법을 제시하지 않는다.
Zammad 7.2.0 업데이트를 검토하는 팀은 첫 취약점의 보강 내용을 확인하되, 로컬 권한상승 문제의 후속 공지도 따로 추적해야 한다. 사용 버전과 서버 접근 조치를 기록하고 새 권고가 나오면 해결 상태를 다시 판단하는 것이 이번 긴급 대응의 핵심이다.
