Уязвимость RCE в Zammad 6.3.0–6.5.4 и 7.0.0–7.1.2 (CVE-2026-102489)

В системе технической поддержки Zammad выявлена серьёзная уязвимость, получившая идентификатор CVE-2026-102489. Она позволяет злоумышленнику перехватить пользовательскую сессию и на её основе выполнить произвольный код на сервере. Учитывая, что Zammad часто развёртывается в корпоративной среде и обрабатывает обращения клиентов, успешная эксплуатация может привести к компрометации инфраструктуры и утечке конфиденциальных данных.

Подробности

Уязвимость затрагивает продукт Zammad GmbH Zammad в версиях с 6.3.0 по 6.5.4 включительно. Именно в этом диапазоне возможен перехват сессии с последующим удалённым выполнением кода (RCE) от имени пользователя zammad. Ошибка также присутствует в ветках 7.0.0–7.1.2, однако там она не эксплуатируется из-за изменений в базовом фреймворке — это снижает риск для тех, кто уже обновился до седьмой ветки, но не отменяет необходимости патча. Тип уязвимости — перехват сессии (session hijack), который в данном случае приводит к RCE. Уровень опасности по CVSS составляет 8.7 (HIGH). На момент публикации записи CVE дополнительных деталей об эксплойте и условиях эксплуатации не раскрыто, что само по себе создаёт риск: администраторам стоит действовать превентивно, не дожидаясь публичных proof-of-concept.

Что делать

Основная рекомендация — как можно скорее обновить Zammad до версии, в которой уязвимость устранена. Если вы используете ветку 6.3.x–6.5.4, переход на актуальный релиз обязателен: именно здесь возможна реальная эксплуатация. Для пользователей 7.0.0–7.1.2 обновление также необходимо, поскольку формально уязвимый код присутствует, а изменения фреймворка — не гарантия защиты в долгосрочной перспективе. До установки патча рекомендуется применить компенсирующие меры: - ограничить сетевой доступ к интерфейсу Zammad, оставив только доверенные IP-адреса и VPN; - усилить мониторинг аномальных сессий и действий от имени пользователя zammad; - проверить журналы на предмет подозрительной активности и признаков компрометации; - при возможности временно ограничить права сервисной учётной записи zammad. Также стоит убедиться, что используются безопасные настройки cookie (флаги Secure и HttpOnly) и актуальные механизмы аутентификации — это не устраняет саму уязвимость, но повышает сложность перехвата сессии. Итог: CVE-2026-102489 — высокорисковая уязвимость в Zammad, ведущая к RCE через перехват сессии. Наиболее уязвимы версии 6.3.0–6.5.4. Единственная надёжная мера — своевременное обновление; до его установки следует ограничить доступ к системе и усилить мониторинг.

Источник: CVE Project (cvelistV5)