CISA añade a su catálogo KEV la escalada a root en Zammad (CVE-2026-102490)

1. Anatomía de la Explotación Activa: CVE-2026-102490

La Cybersecurity and Infrastructure Security Agency (CISA) ha emitido una alerta urgente tras registrar la explotación activa de la vulnerabilidad identificada como CVE-2026-102490 en la solución de mesa de ayuda y ticketing de código abierto Zammad. La falla radica en una gestión inadecuada de privilegios a nivel de sistema operativo en las instalaciones on-premise, permitiendo que procesos ejecutados bajo el contexto de servicio del usuario local zammad eludan las restricciones de seguridad estándar y asciendan de forma determinista a privilegios de superusuario (root).

Lo que agrava sustancialmente la situación táctica no es únicamente la escalada local en sí misma, sino su capacidad de encadenamiento. CISA advierte explícitamente que este vector está siendo aprovechado en combinación con CVE-2026-102489. Esta segunda vulnerabilidad proporciona el vector inicial de compromiso o inyección, tras lo cual CVE-2026-102490 consolida la toma total del host sin requerir interacción por parte del operador.

2. Mecánica y Vector Técnico del Encadenamiento

El modelo de seguridad de Zammad depende del principio de mínimo privilegio sobre entornos Linux, donde la aplicación Rails y los servicios auxiliares operan segregados en una cuenta de servicio sin privilegios administrativos directos. No obstante, una debilidad estructural en el control de permisos de binarios auxiliares, scripts de mantenimiento o políticas permisivas en sudoers permite que el actor malicioso subvierta el contexto de ejecución.

El flujo de ataque documentado se estructura en tres etapas:

• Compromiso Perimetral: Explotación remota de CVE-2026-102489 para forzar la ejecución remota de código (RCE) o inyección arbitraria de comandos en el contexto del usuario zammad.
• Arbitraje de Permisos: Invocación del mecanismo vulnerable asociado a CVE-2026-102490, donde una validación defectuosa de rutas relativas o manipulación de variables de entorno hereda descriptores de archivo elevados.
• Persistencia y Acceso Irrestricto: Adquisición de permisos UID 0. Con acceso de root, el atacante no solo exfiltra la base de datos de tickets de soporte corporativo —a menudo cargada de tokens, secretos y credenciales de usuarios—, sino que puede desplegar módulos en el kernel o pivotar horizontalmente hacia la red interna.

3. Mitigación y Recomendaciones de Implementación

En el marco de la directiva vinculante BOD 26-04, las organizaciones deben priorizar la actualización inmediata de sus activos afectados. Aunque no se ha confirmado formalmente su uso en campañas de ransomware a gran escala hasta la fecha, el perfil del exploit activo señala una alta probabilidad de adopción por parte de intermediarios de acceso inicial (IABs).

Las acciones perentorias recomendadas incluyen:

1. Actualización de Software: Aplicar de manera inmediata los parches oficiales provistos por Zammad GmbH a través de sus canales de distribución verificados (Zammad Product Releases).
2. Auditoría de Procesos y Logs: Ejecutar procedimientos de triaje forense conforme a las guías de CISA, monitoreando el historial de procesos generados por el UID zammad, particularmente invocaciones anómalas de shells interactivas (/bin/sh, /bin/bash) y llamadas a utilidades administrativas.
3. Aislamiento de Perímetro: Evaluar la exposición pública del sistema. Si los parches no pueden ser aplicados inmediatamente, es imperativo restringir el acceso a la interfaz web únicamente mediante redes privadas virtuales (VPN) con autenticación multifactor o cesar temporalmente el servicio.