CISA добавила две уязвимости Zammad в каталог эксплуатируемых

CISA внесла в каталог Known Exploited Vulnerabilities две уязвимости Zammad с оценкой CVSS 9.4: CVE-2026-102489 (фиксация сессии, RCE под пользователем zammad) и CVE-2026-102490 (повышение привилегий до root). Их связка позволяет за секунды пройти путь от захвата сессии до root. Федеральным агентствам США предписано устранить их до 5 октября 2026 года.

• CVE-2026-102489: CVSS 9.4, RCE под пользователем zammad, затронуты версии 6.3.0–6.5.4 и 7.0.0–7.1.3
• CVE-2026-102490: CVSS 9.4, повышение привилегий до root, затронуты версии 1.5.0–7.1.0-alpha
• Связка двух уязвимостей даёт root за секунды; атаку в DIVD вёл ИИ-агент
• CISA требует от федеральных агентств исправить уязвимости до 5 октября 2026 года