Zammad: цепочка CVE-2026-102489 и CVE-2026-102490 даёт root

В Zammad нашли цепочку из двух уязвимостей: CVE-2026-102489 без привилегий через угон сессии даёт RCE под пользователем zammad, а CVE-2026-102490 повышает права до root. Суммарная оценка — 9.4 Critical по CVSS 4.0, обе уязвимости эксплуатируются в атаках, root достигается за секунды.

• CVE-2026-102489: без привилегий, оценка 8.7, RCE под zammad
• CVE-2026-102490: локальное повышение до root, оценка 8.5
• Уязвимы Zammad 6.3.0–6.5.4 и 1.5.0–7.1.0 alpha
• ZoomEye нашла 11 977 инстансов Zammad в интернете