Zabbixは8月18日、Zabbix 7.4におけるセッションキーのハードコーディング（CVE-2026-23933）について発表した。Daniel Shemesh氏とOr Ida氏がHackerOneのバグ報奨金プラットフォームを通じて報告を行っている。影響を受けるシステムは以下の通り。
Zabbix 7.4.0 - 7.4.10
Zabbix 7.4 では、フロントエンドセッションの署名に使用される暗号鍵が、誤ってデータベースのシードに書き込まれており、現時点でSAML認証とゲストユーザーの両方を利用している環境での悪用シナリオが確認されている。このような場合、この鍵を使用して有効なセッションCookieを偽造することが可能で、不正アクセスにつながる可能性がある。
Zabbixでは、Zabbixサーバを最新バージョンにアップグレードするよう案内している。修正済みバージョンは7.4.11となっている。アップグレードパッチを適用すると、データベースからセッションキーが削除される。
