Zammad e Atlassian no KEV de outubro de 2026: selecionar correções por versão e método de instalação

O que é

Situação em 25 de outubro de 2026. A CISA adicionou CVE-2026-102489 e CVE-2026-102490 do Zammad ao KEV em 2 de outubro, e CVE-2026-21589 da Atlassian em 15 de outubro de 2026. Este artigo usa o comunicado de lançamento do Zammad de 15 de outubro e o aviso sobre privilégios publicado em 8 de outubro, além do aviso da Atlassian modificado pela última vez em 5 de outubro de 2026. Consulte novamente os comunicados de lançamento, os requisitos de migração de repositório e as ações do KEV antes de declarar a correção concluída.

O Zammad 6.5.5 fornece uma correção excepcional para CVE-2026-102489 em sua série 6.5, que está sem suporte. O fornecedor recomenda 7.2.2 quando a migração for possível. Para CVE-2026-102490, seu aviso mais recente lista como afetadas as instalações DEB/RPM do packager.io até 7.2.1 e como corrigida a versão 7.2.2; instalações a partir do código-fonte e imagens oficiais de contêiner estão excluídas. Essa falha local de privilégios exige que o invasor já tenha acesso a uma conta de serviço.

A falha da Atlassian permite acesso sem autenticação a arquivos específicos na raiz web da aplicação afetada. Seu aviso distingue instalações hospedadas pelo próprio cliente de produtos em nuvem afetados, que, segundo ele, já haviam sido corrigidos sem necessidade de ação do cliente.

Por que importa

Uma página de login acessível não é evidência de contenção de uma falha que dispensa autenticação. Da mesma forma, atualizar uma aplicação não comprova a eliminação de um comprometimento anterior do servidor. Mantenha registros separados para a resolução da vulnerabilidade, as restrições de acesso e a investigação do incidente.

O fluxo a seguir é uma lista de verificação proposta para operadores. Ele prioriza atualizações com suporte e a preservação de evidências, em vez de tentar verificar a possibilidade de exploração.

Como aplicar

• Faça um inventário de cada instalação. Registre produto, ambiente de execução, método de instalação do pacote, versão e todos os backends ou nós de cluster acessíveis. Nas instalações do Zammad por pacotes, dpkg-query -W zammad ou rpm -q zammad fornece evidências do pacote; compare-as com a versão da aplicação em execução. Verifique as regras de entrada sob seu controle e as observações autorizadas de acessibilidade externa, sem enviar requisições de exploração.
• Atualize o Zammad usando o repositório correto. Prefira a atualização com suporte para 7.2.2 ou uma versão posterior confirmada pelo fornecedor. Se essa migração estiver temporariamente indisponível para uma instalação 6.5, siga as instruções de migração de repositório indicadas no comunicado da 6.5.5 antes de atualizar: a versão emergencial está disponível apenas no novo repositório. Preserve backups recuperáveis do banco de dados e dos anexos. O comunicado da 6.5.5 trata de CVE-2026-102489; não o considere, por si só, prova da resolução de CVE-2026-102490.
• Use a lista completa de versões corrigidas da Atlassian. Selecione a linha de versões com suporte adequada; não interprete a correção em uma linha como se também abrangesse outra:

Produto	Versões corrigidas listadas pelo fornecedor
Bitbucket Data Center	9.4.26; 10.2.8; 10.5.1
Confluence Data Center	9.2.26; 10.2.19
Jira Service Management Data Center	5.12.40; 10.3.26; 11.3.12
Jira Software Data Center	9.12.40; 10.3.26; 11.3.12
Bamboo Data Center	10.2.24; 12.1.12
Crowd Data Center	6.3.7; 7.0.3; 7.1.7; 7.2.4
Crucible	4.9.15
Fisheye	4.9.15

• Faça a contenção durante a atualização. Restrinja a acessibilidade pública se a atualização necessária não puder ser concluída imediatamente. Aplique qualquer configuração provisória do fornecedor apenas ao produto documentado e verifique todos os caminhos de entrada. Defina prazo de validade para as restrições temporárias e um responsável pela atualização.
• Investigue e verifique. Preserve os logs de acesso da aplicação e do proxy; a Atlassian fornece orientações para investigar logs de acesso. Analise contas inesperadas, alterações de configuração e atividades privilegiadas no host como pistas para investigação. Registre a versão em execução em todos os nós após atualizar e então teste login, anexos e integrações necessárias. Se as evidências confirmarem comprometimento do host, preserve-as, recrie o sistema a partir de mídia confiável e faça a rotação das credenciais de serviço expostas a partir de um sistema limpo.

Armadilhas

Uma busca por indicadores sem resultados não comprova integridade quando os logs estão incompletos. A versão emergencial do Zammad não restabelece o suporte à série 6.5. Não restaure integralmente uma instalação suspeita de comprometimento no ambiente substituto. Mantenha decisões de aceitação distintas para as duas CVEs do Zammad e para as atualizações por produto da Atlassian.