Zammad 兩項漏洞須分別處理遠端執行及本機提權風險

CVE-2026-102489 · CVE-2026-102490

主要來源公告：2026-09-29

本站刊登：2026-10-24 · 內容更新：2026-10-24（香港日期）

情報摘要

DIVD 9 月 29 日公開 CVE-2026-102489；Zammad 的後續公告區分舊版遠端執行風險與 CVE-2026-102490 本機提權。供應商指出 7.0 及以後版本的執行環境令前者在實際情況下無法利用；後者影響 DEB／RPM 安裝，於 7.2.2 修補。

Zammad 舊版及透過 packager.io DEB／RPM 安裝的版本；不同漏洞的影響範圍不同。

自行託管 Zammad 的香港客服及 IT 團隊

依官方指引升級至 7.2.2 或更新受支援版本。仍使用 6.5 且暫時無法升級者，可先按官方套件庫遷移指引安裝緊急 6.5.5；此臨時修補沒有延長 6.5 的支援期。限制底層伺服器存取。

critical 為兩漏洞可串連的編輯風險分類；DIVD 對串連情境評為 9.4 Critical；Zammad 對 DEB／RPM 本機提權單項列 CVSS v4.0 8.5 High。

香港部署或受影響個案未獲證實。

6.5.5 公告針對 CVE-2026-102489，不應推定它同時修復所有 DEB／RPM 本機提權風險。

供應商表示本機提權不影響由原始碼或官方容器安裝的部署；SaaS 客戶毋須行動。

CVE-2026-102490 影響 packager.io DEB／RPM 套件 7.2.1 及更早版本；攻擊者須先取得 zammad 服務帳戶的程式碼執行權限，才能藉此提升至 root。