Résumé
Le 30 septembre 2026, une faille critique a été découverte dans les versions anciennes de Zammad (avant la version 6.5.4). Elle permet à un attaquant de voler la session d’un utilisateur pour exécuter du code malveillant sur le serveur, sous le compte du système Zammad. Cette vulnérabilité est référencée dans le catalogue KEV des vulnérabilités activement exploitées, et un code d’exploitation public est disponible.
Solutions
Il est urgent d’appliquer la mise à jour vers une version 6.5.4 ou supérieure (ou 7.1.3 pour les versions 7.x), comme recommandé par le fournisseur, pour corriger cette faille.
Dernière mise à jour : 20/10/2026
La faille est activement exploitée : Oui
Details techniques
Score CVSS : 9.4/10
EPSS : 1.26%
Référencée comme KEV : Oui
Code d exploitation disponible : Oui
Date de détection de l’exploit : 08/10/2026
Systèmes affectés
Zammad : versions < 6.5.4 (et certaines versions 7.0.0 à 7.1.2, mais non exploitables).
Documentation
• NIST NVD