Znuny 7.3.7 und LTS 6.5.25: Sicherheitsupdate einspielen

13.10.2026 · Release vom 16.09.2026 · Znuny 7.3.7 und Znuny LTS 6.5.25

Am 16. September 2026 sind Znuny 7.3.7 und Znuny LTS 6.5.25 erschienen. Die Patchlevel schließen drei Sicherheitslücken, zwei davon mit der Einstufung „hoch“. Beide betreffen den Login. Wir empfehlen, das Update zeitnah einzuspielen.

Welche Lücken geschlossen werden

• SQL-Injection im Agenten-Login (ZSA-2026-13, CVE-2026-48188, hoch): Der Benutzername wurde nur maskiert in die Login-Abfrage eingesetzt statt als gebundener Parameter übergeben. Angreifer konnten so die Authentifizierungsabfrage manipulieren.
• Anmeldung ohne Passwort über HTTPBasicAuth (ZSA-2026-14, hoch): Die HTTPBasicAuth-Module für Agenten- und Kundenoberfläche lasen den Benutzernamen ersatzweise aus einem Wert, den ein Client per „Remote-User“-Header selbst setzen kann. Betroffen sind nur Systeme, die HTTPBasicAuth als Authentifizierungs-Backend verwenden – dort aber war eine Anmeldung als beliebiger bestehender Benutzer möglich.
• SQL-Injection in der Ticketsuche (ZSA-2026-15, mittel): über den Parameter ContentSearch.

Zusätzlich enthalten beide Versionen Fehlerbehebungen und kleinere Verbesserungen.

Wer betroffen ist

Die beiden hoch eingestuften Lücken betreffen laut Advisory Znuny LTS 6.5.1 bis 6.5.24, Znuny 7.3.1 bis 7.3.6 sowie alle Versionen der Reihen 6.0 bis 6.4 und 7.0 bis 7.2. Für diese älteren Reihen gibt es keine Korrektur mehr – sie sind nur durch ein Upgrade abzusichern. Auch die Version 7.2 wird seit dem 25. März 2026 nicht mehr gepflegt.

Wer noch die frühere ((OTRS)) Community Edition einsetzt, erhält schon seit Jahren keine Sicherheitsupdates mehr. Hier lohnt sich ein Blick auf die Migration zu Znuny.

7.3 oder LTS 6.5 – welche Version?

Znuny pflegt derzeit zwei Linien parallel:

• Znuny 7.3 (seit März 2026) ist die aktuelle Feature-Version. Sie bringt unter anderem eine eingebaute SAML-2.0-Anmeldung für Agenten und Kunden, ausgehende E-Mail-Profile mit eigenen Absendern und SMTP-Servern je Abteilung oder Marke sowie Service-, SLA- und Tickettyp-Felder auf weiteren Masken. Sie wird gepflegt, bis die nächste 7.x-Version erscheint.
• Znuny LTS 6.5 erhält Sicherheits- und Fehlerkorrekturen über einen längeren Zeitraum – laut Roadmap bis sechs Monate nach Erscheinen des nächsten LTS-Release. Sie ist die konservative Wahl für Systeme mit vielen Anpassungen und Add-ons.

Innerhalb einer Linie ist das Patchlevel-Update in der Regel unkompliziert. Ein Wechsel von 6.5 auf 7.3 ist dagegen ein Major-Upgrade: Hier sollten eigene Anpassungen und eingesetzte Add-ons vorab auf Kompatibilität geprüft werden.

Unsere Empfehlung

• Patchlevel zeitnah einspielen: auf 7.3.7 bzw. LTS 6.5.25.
• Prüfen, ob HTTPBasicAuth als Authentifizierungs-Backend konfiguriert ist. Unabhängig vom Update sollte der vorgelagerte Webserver einen von außen gesetzten „Remote-User“-Header grundsätzlich verwerfen.
• Vor dem Update wie gewohnt eine Sicherung von Datenbank und Installationsverzeichnis erstellen.
• Systeme auf 7.2 oder älter mittelfristig auf eine gepflegte Linie bringen.

Die vollständigen Angaben finden Sie in der Release-Übersicht und unter den Security Advisories von Znuny.