Zammad оспорва публично как DIVD разкри две дупки, а CISA ги вписа и двете в KEV със срок 5 октомври

Факт

Фактите: на 2 октомври 2026 г. CISA добави в каталога KEV две уязвимости в Zammad: CVE-2026-102489, session fixation (CWE-384), която може да доведе до отдалечено изпълнение на код като потребителя zammad, и CVE-2026-102490, неправилно управление на привилегии (CWE-269), при което локалният потребител zammad може да стане root. CISA пише, че двете могат да се верижат. Срок за федералните агенции 5 октомври 2026 г., изискване за форензичен триаж, употреба в ransomware неизвестна. Институтът DIVD (Dutch Institute for Vulnerability Disclosure) ги описва в случай DIVD-2026-00015: според хронологията му уязвимостта е използвана за проникване в самия DIVD на 21 септември, Zammad е уведомена на 24 септември, а на 26 септември DIVD е сканирал за уязвими инсталации, направил е ограничено разкриване и е започнал да уведомява собствениците. За първата дупка DIVD дава засегнати версии 6.3.0 до 6.5.4 и 7.0.0 до 7.1.3, като на 7.0.0 до 7.1.3 тя на практика не се експлоатира; втората, по думите му, засяга всички версии от 1.5.0 до 7.1.0-alpha. Zammad пише в общността си на 1 октомври, че за CVE-2026-102489 е получила доклад през август 2026, че експлоатация е възможна само на 6.5 и по-стари, които са извън поддръжка, че 7.0 и по-нови не са засегнати и че кодът е подсилен в 7.2.0. За CVE-2026-102490 Zammad пише, че DIVD не ѝ е дал технически детайли, че не може да потвърди невиждано твърдение и че разкриването, при което е публикуван CVE номер за дупка, за която не е била уведомена, не е отговорен начин. По-късен пост в същата нишка: детайлите са получени от DIVD и Zammad работи по тях; дупката не може да се експлоатира отдалечено сама по себе си, нападателят трябва вече да има достъп до сървъра. Препоръка на Zammad: 7.2.0, а който е на 6.5 или по-старо, да обнови веднага.