CISA, 실제 악용된 Zammad 취약점 2건 경고…영향 범위 해석은 엇갈려
CVE-2026-102489·102490 10월 2일 KEV 등재…연방기관 조치 기한은 10월 5일, Zammad는 7.2.0 업데이트 권고
핵심 요약
- CISA는 Zammad의 CVE-2026-102489와 CVE-2026-102490을 10월 2일 KEV에 추가했고 미국 연방기관 조치 기한을 10월 5일로 제시했다.
- CVE-2026-102489는 세션 고정 계열 문제로 zammad 사용자 권한의 원격 코드 실행으로 이어질 수 있으며, 실제 악용 가능한 범위는 6.3.0~6.5.4로 설명된다.
- CVE-2026-102490은 로컬 권한 상승 문제로 보고됐지만 Zammad는 기술 세부정보를 받지 못해 영향 범위를 자체 검증하지 못했다고 밝혔다.
고객지원 플랫폼 Zammad를 운영하는 조직이라면 이번 주말을 넘기기 전에 버전과 노출 상태를 다시 확인할 필요가 있다. 미국 사이버보안·인프라보안국(CISA)이 Zammad 관련 취약점 2건을 실제 악용이 확인된 취약점 목록인 KEV에 올렸기 때문이다.
이번 사안에서 특히 주의할 점은 “두 취약점이 실제 악용 목록에 올랐다”는 사실과 “모든 영향 버전과 기술적 세부사항이 완전히 합의됐다”는 판단은 서로 다르다는 것이다. CVE-2026-102489는 DIVD와 Zammad의 설명이 비교적 수렴하지만, CVE-2026-102490의 범위에 대해서는 취약점 공개 측과 벤더의 입장이 아직 완전히 맞지 않는다.
CISA KEV에 Zammad 취약점 2건…10월 5일 조치 기한
CVE-2026-102489와 CVE-2026-102490은 2026년 10월 2일 CISA KEV에 추가됐다. KEV는 단순히 이론적으로 공격 가능한 취약점을 모아둔 목록이 아니라, CISA가 실제 악용 증거를 확인한 취약점을 우선 관리하기 위한 카탈로그다.
CISA가 제시한 미국 연방기관 조치 기한은 10월 5일이다. 이 날짜가 모든 민간기업에 동일한 법적 의무를 의미하는 것은 아니지만, 인터넷에 노출된 Zammad를 운영하는 조직이라면 우선순위를 높여 대응해야 한다는 강한 신호로 볼 수 있다.
두 취약점은 성격이 다르다. 하나는 외부에서 세션을 악용해 Zammad 애플리케이션 권한의 코드 실행으로 이어질 수 있는 문제이고, 다른 하나는 이미 로컬 zammad 사용자 권한을 확보한 상태에서 시스템 최고 권한인 root로 올라갈 수 있다는 보고다.
CVE-2026-102489, 세션 고정에서 원격 코드 실행으로 이어질 수 있어
CVE-2026-102489는 CISA와 NVD에서 Zammad의 Session Fixation 취약점으로 분류된다. DIVD 설명에 따르면 Zammad 6.3.0부터 6.5.4까지는 이 문제를 통해 zammad 사용자 권한의 원격 코드 실행으로 이어질 수 있다.
DIVD는 7.0.0부터 7.1.3에도 관련 코드가 존재하지만, 해당 환경 조건 때문에 실제 악용은 불가능하다고 설명한다. Zammad 역시 7.0 이상은 이 취약점의 실제 영향 대상이 아니라는 입장을 밝혔다.
벤더는 문제 코드에 대한 추가 하드닝을 Zammad 7.2.0에 포함했다. 따라서 오래된 6.x 계열을 계속 운영하고 있다면 최신 보안공지만 확인하는 수준에서 끝낼 사안이 아니라 실제 업그레이드 계획을 즉시 점검해야 한다.
CVE-2026-102490, root 권한 상승 보고됐지만 범위는 아직 논쟁 중
두 번째 취약점인 CVE-2026-102490은 로컬 권한 상승(Local Privilege Escalation) 문제로 등록됐다. DIVD와 CVE 기록은 로컬 zammad 사용자가 root 권한으로 상승할 수 있다고 설명하며, 영향 범위를 Zammad 1.5.0부터 7.1.0-alpha 이전까지로 제시한다.
하지만 이 부분에서는 Zammad 측 설명을 함께 봐야 한다. Zammad는 10월 1일 공개한 입장에서 DIVD로부터 CVE-2026-102490의 기술 세부정보를 전달받지 못했기 때문에 취약점 자체, 영향 범위, 영향을 받는 버전을 독자적으로 확인할 수 없다고 밝혔다.
두 취약점이 연결되면 위험이 커진다
DIVD는 자사 침해 사고 조사 과정에서 두 취약점이 함께 악용됐다고 설명했다. 공개된 조사 내용에 따르면 공격자는 세션 탈취와 원격 코드 실행을 거쳐 zammad 사용자 권한을 확보한 뒤, 추가 권한 상승을 통해 root 권한까지 도달한 것으로 보고됐다.
이 점 때문에 두 CVE는 각각 따로 보는 것보다 공격 체인의 서로 다른 단계로 이해하는 것이 중요하다. CVE-2026-102489가 애플리케이션 내부 진입과 코드 실행의 통로가 될 수 있다면, CVE-2026-102490은 이미 확보한 로컬 권한을 시스템 최고 권한으로 확장하는 단계로 설명된다.
다만 이 공격 체인에 대한 설명은 DIVD의 사고 분석에 기반한 것이며, CVE-2026-102490의 구체적인 기술 조건과 전체 영향 범위는 Zammad가 아직 자체 검증하지 못했다고 밝힌 상태다.
관리자가 지금 확인해야 할 것은 버전·노출·업데이트 상태
Zammad가 관리자에게 제시한 현재 권고는 명확하다. 현재 안정 버전인 Zammad 7.2.0으로 업데이트하는 것이다. 7.2.0은 9월 23일 공개됐으며, Zammad는 특히 6.5 이하 버전을 아직 사용하고 있다면 즉시 업그레이드할 것을 권고하고 있다.
운영자는 먼저 현재 설치 버전을 확인하고, 인터넷에 직접 노출된 Zammad 인스턴스가 있는지 점검하는 것이 좋다. 이후 7.2.0 업데이트 가능 여부를 확인하고, 보안 로그와 인증 관련 이상 징후도 함께 살펴볼 필요가 있다. CVE-2026-102490은 세부 기술정보가 추가로 공개될 가능성이 있으므로 Zammad의 공식 보안 공지도 계속 확인해야 한다.
관리자를 위한 체크 포인트
| 확인 항목 | 권장 조치 |
|---|---|
| Zammad 버전 | 7.2.0 업데이트 여부 확인 |
| 6.5 이하 운영 | 지원 종료 계열이므로 우선 업그레이드 검토 |
| 인터넷 노출 | 외부 접근 가능한 인스턴스와 접근 경로 재점검 |
| 보안 로그 | 비정상 세션·권한 변경·의심스러운 관리 작업 점검 |
| CVE-2026-102490 | Zammad 공식 보안공지와 추가 기술정보 지속 확인 |
핵심은 ‘실제 악용’과 ‘영향 범위 확정’을 구분하는 것
이번 사안의 핵심은 단순히 Zammad에서 취약점이 발견됐다는 데 있지 않다. CISA KEV 등재를 통해 실제 악용이 확인된 두 취약점이라는 점은 분명하지만, 그중 CVE-2026-102490의 세부 영향 범위는 벤더와 공개 측 설명이 아직 일치하지 않는다.
따라서 관리자는 논쟁이 끝날 때까지 기다리기보다 현재 안정 버전으로 업데이트하고, 외부 노출 상태와 로그를 점검하는 쪽이 안전하다. 동시에 기사나 보안공지에서는 아직 확정되지 않은 영향 범위를 확정 사실처럼 표현하지 않는 것이 중요하다.
참고 자료
- NVD — CVE-2026-102489
https://nvd.nist.gov/vuln/detail/cve-2026-102489 - DIVD CSIRT — DIVD-2026-00015
https://csirt.divd.nl/DIVD-2026-00015/ - DIVD CSIRT — CVE-2026-102490
https://csirt.divd.nl/CVE-2026-102490/ - CVE.org — CVE-2026-102490
https://www.cve.org/CVERecord?id=CVE-2026-102490 - Zammad 공식 입장
https://community.zammad.org/t/take-care-local-privilege-escalation-cve-2026-102490-is-reported-as-being-actively-exploited/21297 - Zammad 7.2 Release
https://zammad.com/en/product/releases/7-2
