CVE-2026-102490: локальное повышение привилегий до root в Zammad

В репозитории CVE Project опубликована информация об уязвимости CVE-2026-102490 в системе управления заявками и клиентской поддержкой Zammad. По данным источника, проблема затрагивает все версии продукта, включая последнюю альфу, и связана с локальным повышением привилегий. Уязвимость отнесена к высокому уровню опасности — CVSS 8.5.

Подробности

Уязвимость классифицируется как локальное повышение привилегий (Local Privilege Escalation, LPE). Согласно описанию CVE, все версии Zammad, начиная с v1.5.0 и вплоть до v7.1.0-alpha, позволяют локальному пользователю zammad повысить свои привилегии до root.

Речь идёт о штатной сервисной учётной записи, под которой работают процессы Zammad в операционной системе. Если злоумышленник тем или иным способом получит доступ к этой учётной записи — например, через компрометацию веб-приложения, эксплуатацию другой уязвимости или доступ к хосту, — он сможет развить атаку до полного контроля над сервером. Оценка CVSS составляет 8.5, что соответствует высокому уровню критичности.

Отдельно подчёркивается, что проблеме подвержены не только стабильные релизы, но и самая свежая альфа-версия, то есть на момент публикации записи исправленной сборки не представлено. Технические детали эксплойта в CVE-записи не раскрываются (пометка «Undisclosed»), что не позволяет говорить о конкретном векторе без дополнительных данных от производителя.

Стоит учитывать, что повышение привилегий до root означает выход за пределы изолированного окружения приложения и потенциальную компрометацию всей операционной системы, на которой развёрнут Zammad: доступ к конфигурации, базе данных, резервным копиям и другим сервисам на том же хосте.

Что делать

На момент публикации CVE-записи официальное исправление не выпущено, поэтому рекомендуется придерживаться компенсирующих мер:

• Следить за официальными каналами Zammad GmbH и оперативно устанавливать обновление, как только оно появится.
• Ограничить доступ к операционной системе, на которой развёрнут Zammad: не предоставлять сторонним лицам возможность локального входа или выполнения кода на хосте.
• Применить принцип наименьших привилегий к сервисной учётной записи zammad, где это возможно без нарушения работы продукта, и ограничить её права средствами ОС (например, через systemd-изоляцию, AppArmor, SELinux).
• Изолировать Zammad в отдельном контейнере или виртуальной машине, чтобы снизить последствия возможной эскалации привилегий.
• Усилить мониторинг: отслеживать аномальную активность процессов от имени zammad, попытки обращения к /etc/shadow, изменения системных файлов и запуск привилегированных команд.
• Провести аудит доступа к хостам с Zammad и убедиться, что у посторонних пользователей нет даже ограниченного локального доступа.

Итог: CVE-2026-102490 — серьёзная уязвимость локального повышения привилегий в Zammad, затрагивающая все версии продукта, включая последнюю альфу. До выпуска патча ключевыми мерами остаются изоляция сервиса, ограничение локального доступа к хосту и тщательный мониторинг активности учётной записи zammad.

Источник: CVE Project (cvelistV5)