Две уязвимости Zammad сцепили в цепочку до root автономным агентом

Нидерландский институт DIVD раскрыл, что был скомпрометирован через две критические уязвимости Zammad (CVE-2026-102489 и CVE-2026-102490, обе 9.4 по CVSS 4.0). Первая даёт удалённое выполнение кода от имени сервисного пользователя, вторая — повышение привилегий до root из-за ошибки порядка запуска в пакетах packager.io.

• CVE-2026-102489: захват сессии в Zammad 6.3.0–6.5.4 ведёт к RCE от имени zammad
• CVE-2026-102490: процессы стартовали от root и исполняли файлы, доступные на запись сервису
• Обе уязвимости оценены в 9.4 по CVSS 4.0
• DIVD обнаружил взлом на следующий день после начала атаки