ТЛ;ДР Две уязвимости Zammad связаны с корнем: CVE-2026-102489 перехватывает сеанс и достигает удаленного выполнения кода от имени пользователя службы zammad, а CVE-2026-102490 переводит этого локального пользователя в режим root. Эпизод, ставший причиной раскрытия информации,...
ТЛ;ДР
Две уязвимости Zammad связаны с корнем: CVE-2026-102489 перехватывает сеанс и достигает удаленного выполнения кода от имени пользователя службы zammad, а CVE-2026-102490 переводит этого локального пользователя в режим root.
Эпизод, ставший причиной раскрытия информации, поразителен сам по себе: организация, которая обнаружила недостатки, — это DIVD, и она обнаружила их во время расследования взлома своей собственной среды, который она описывает в досье как агентную атаку с использованием искусственного интеллекта, которая достигла эскалации привилегий за секунды.
Стороны соглашаются, что Zammad с 6.3.0 по 6.5.4 можно использовать удаленно, и разногласия начинаются после этого: DIVD записывает дефект как присутствующий в версиях с 7.0.0 по 7.1.3, в то время как поставщик считает эти версии незатронутыми на практике.
Собственная политика безопасности Zammad распространяется только на текущую стабильную версию, что превращает вопрос о затронутой версии в вопрос поддержки, а также технический вопрос.
Оба CVE вошли в каталог эксплуатируемых уязвимостей CISA 2 октября 2026 года, поэтому сроки создания локального экземпляра короткие.
Что эти два недостатка делают вместе
Снимок экрана официального файла дела DIVD CSIRT (csirt.divd.nl/cases/DIVD-2026-00015/, захвачен 4 октября 2026 г.): ссылка на случай, два CVE,