Американската Агенция за киберсигурност и инфраструктурна сигурност (CISA) добави две уязвимости в Zammad към своя каталог с известни експлоатирани уязвимости (Known Exploited Vulnerabilities) след съобщения, че атакуващи активно експлоатират поне един от дефектите.

Проблемите, проследявани като CVE-2026-102489 и CVE-2026-102490, могат да бъдат верижно комбинирани за получаване на пълен контрол над засегнатите сървъри за поддръжка на Zammad.

Zammad е платформа с отворен код за поддръжка на клиенти и управление на тикети, която организациите използват за управление на заявки за услуги, комуникация с клиенти и вътрешни операции по поддръжка.

Тъй като тези системи могат да съдържат чувствителни данни за клиенти, тикети за поддръжка, идентификационни данни и интеграции с електронна поща, компрометирането им би могло да създаде значителен риск за сигурността.

CVE-2026-102489 е уязвимост от тип „фиксиране на сесия“ (session fixation), засягаща по-стари инсталации на Zammad. Фиксирането на сесия се случва, когато атакуващ принуди или подведе целта да използва идентификатор на сесия, който той вече знае.

Според данните за уязвимостта, успешното ѝ експлоатиране може да позволи отдалечено изпълнение на код с правата на потребителя Zammad с ниски привилегии.

Вторият проблем, CVE-2026-102490, е уязвимост, свързана с неправилно управление на привилегиите. Тя би могла да позволи на локален потребител в Zammad да повиши привилегиите си до root — акаунта с най-високи привилегии в Linux системите. Когато се комбинира с уязвимостта за фиксиране на сесия, киберпрестъпниците могат да преминат от отдалечен достъп до пълно завземане на сървъра.

CISA добави и двете уязвимости към своя каталог на 2 октомври 2026 г. и постави краен срок за отстраняване на уязвимостта до 5 октомври 2026 г. за федералните цивилни агенции.

Агенцията заяви, че се изисква криминалистичен триаж съгласно Оперативна директива 26-04, което показва, че организациите трябва да разследват засегнатите системи за следи от компрометиране, освен да прилагат мерки за защита.

От Zammad потвърдиха публичните доклади, свързани със случай DIVD-2026-00015 на DIVD. Компанията обаче заяви, че CVE-2026-102489 е експлоатеруема само в Zammad версия 6.5 и по-стари, които вече не се поддържат.

От Zammad посочиха, че версии 7.0 и по-нови не са засегнати на практика и че Zammad 7.2.0 включва допълнително заздравяване на кода. Първоначално производителят заяви, че не е получавал техническа информация за CVE-2026-102490 и не може да потвърди съобщения обхват или твърденията за експлоатация.

В последващо актуализиране Zammad заяви, че е получил подробностите за уязвимостта от DIVD и потвърди, че проблемът с ескалацията на привилегии не може да бъде експлоатиран отдалечено самостоятелно.

Атакуващият първо би имал нужда от достъп до сървъра. Администраторите трябва да инсталират актуализация до Zammad 7.2.0, особено ако използват версия 6.5 или по-стара.

Организациите трябва също така да прегледат сървърните дневници, работещите процеси, потребителските акаунти, планираните задачи, SSH достъпа, дневниците на уеб сървъра и необичайните изходящи връзки за доказателства за неоторизиран достъп.

CISA препоръчва да се приложат мерките за защита от производителя, да се оцени излагането в интернет и да се прекрати използването на продукта, ако не са налични адекватни мерки за защита.

Случаят подчертава опасността от комбиниране на отделни слабости: една уязвимост може да осигури първоначален достъп, докато друга може да превърне ограничения достъп в пълен административен контрол.