flawopen.com/Incidents/divd-zammad-ai-agent-zero-day-chain-september-2026

● Dutch Institute for Vulnerability Disclosure (DIVD) · CVE-2026-102489 · 2026-09-21 · CVSS 9.4 · Kritisch

Sicherheitsforschung · FlawOpen

DIVD-Einbruch über Zammad: CVE-2026-102489 und 102490

DIVD zufolge erlangten Angreifer über zwei Zammad-Schwachstellen Root-Zugriff und nutzten anschließend KI-Agenten für weitere Aktivitäten. CVE-2026-102490 betrifft DEB/RPM-Pakete und ist ab Version 7.2.2 behoben.^{[10], [1], [2], [12], [3], [11]}

💡 Einfache Erklärung (ELI5)

Stellen Sie sich eine Aufsichtsperson vor, die mit Generalschlüsseln startet, einen Arbeitsauftrag liest und ausführt, den eine Hilfskraft ändern darf, und die Schlüssel erst danach abgibt. Die Hilfskraft kann verändern, was ausgeführt wird, solange die Aufsichtsperson noch alle Rechte hat. Das Paketproblem von Zammad betrifft Dateien, die das Konto zammad ändern kann, bevor ein als root gestarteter Dienst seine Rechte abgibt; ein bestehender Zugang ist nötig, und betroffen sind DEB/RPM-Pakete. Diese CVE verschafft nicht selbst den Erstzugriff.^{[1], [2], [3]}

Kernkonzepte & Begriffe

CVE-2026-102489: DIVD beschreibt eine Sitzungsübernahme in Zammad, die Remote-Codeausführung als Dienstkonto zammad ermöglicht. CWE-384 ist erfasst; GHSA nennt CVSS 4.0 mit 9,4.^{[2], [5], [6]}
CVE-2026-102490: CVE-2026-102490 ist eine lokale, paketspezifische Rechteausweitung. Die DEB/RPM-Dienstkonfiguration kann Dateien ausführen, die das unprivilegierte Konto zammad ändern darf, bevor ein als root gestarteter Dienst seine Rechte abgibt. Der Angreifer benötigt daher bereits Zugang sowie nötige Schreibrechte oder Codeausführung. Offizielle Container und Installationen aus dem Quellcode sind ausgenommen. Zammad 7.2.2 behebt das Paketproblem.^{[8], [10], [2], [7], [12], [3], [11]}
CWE-384 / CWE-269: DIVD unterscheidet CVSS 4.0 8,5 (lokal, geringe Rechte) für CVE-2026-102490 allein von 9,4 in der Kette mit CVE-2026-102489. Der ältere GHSA-HGFF-Eintrag zeigt für CVE-2026-102490 allein weiterhin 9,4 mit Netzwerkvektor/ohne erforderliche Rechte. Der Zammad/GHSA-p97-Paket-Hinweis vom 8. Oktober nennt 8,5 und einen lokalen Vektor für das DEB/RPM-Problem. Nennen Sie Szenario und Quelle; stellen Sie die älteren Metadaten nicht als Beleg für alleinige Remote-Erreichbarkeit dar. Für das paketbezogene Problem ordnet GHSA-p97 zusätzlich CWE-250, CWE-426 und CWE-732 zu; die CWE-269-Zuordnung im DIVD/CVE-Eintrag ist eine separate Einstufung.^{[10], [2], [6], [7], [3], [11]}
KEV: NVD führt CVE-2026-102489 im CISA-KEV-Katalog. Leiten Sie daraus nicht ab, dass auch CVE-2026-102490 enthalten ist.^[5]
Grenze der Offenlegung: Die zitierte öffentliche Warnung beschreibt das Paketproblem und die korrigierte Version, enthält aber weder CVE-spezifische Quelltextzeilen noch einen Patch. Diese Seite kann deshalb keinen quellengestützten Codefix zeigen. Folgen Sie der Herstellerempfehlung für die Pakete, statt ein allgemeines Beispiel für den Zammad-Patch zu halten.^{[6], [7], [11]}

Framework-Zuordnungen

CWE-Referenz für die in diesem Leitfaden beschriebene Schwachstelle: CWE-269 CWE-384
CISA KEV — aufgenommen am 2026-10-02 — CVE-2026-102489

Getrennte Zammad-Schwachstellen und Patchstatus

Schwachstelle	Status und Umfang laut Quellen	Schutzmaßnahme
`CVE-2026-102489`	DIVD nennt 6.3.0–6.5.4 und 7.0.0–7.1.3; der zweite Bereich war in der beschriebenen Laufzeitumgebung nicht ausnutzbar. Zammad sagt, dass eine praktische Ausnutzung auf 6.5 und älter beschränkt ist, und nennt zusätzliche Härtung in 7.2.0.	Prüfen Sie die genaue Version und Laufzeitumgebung anhand der Angaben von Zammad und DIVD. Der separate Hinweis zu 7.2.1 belegt nicht, dass diese CVE dort behoben wurde.
`CVE-2026-102490`	Der aktuelle DIVD-Eintrag und der Zammad/GHSA-p97-Hinweis vom 8. Oktober begrenzen diese lokale Rechteausweitung auf DEB/RPM-Installationen; erforderlich ist bereits Zugriff als unprivilegiertes Konto zammad. Das Paketproblem ist in 7.2.2 behoben; Quellcode-Installationen und offizielle Container sind ausgenommen. DIVD bewertet die einzelne LPE mit 8,5 lokal und die Kette mit `CVE-2026-102489` mit 9,4. Ein älterer GHSA-HGFF-Eintrag nennt für die einzelne CVE weiterhin einen widersprüchlichen Netzwerkvektor.	Prüfen Sie die Paketquelle. Aktualisieren Sie DEB/RPM-Installationen auf 7.2.2 oder höher; Quellcode- und offizielle Containerinstallationen sind von diesem Paketproblem ausgenommen. Halten Sie einzelne und verkettete Szenarien getrennt.
GHSA-23hj-h8w6-rgm3 (separates Problem)	Dieser Hinweis ohne CVE betrifft die Offenlegung von Sitzungskennungen bis 7.2.0 und nennt 7.2.1 als behoben. Die zitierten Quellen ordnen ihn keiner der obigen CVEs zu.	Halten Sie die Meldung getrennt; verwenden Sie den Fix in 7.2.1 nicht als Beleg, dass eine DIVD-CVE behoben ist.

Vorfall-Zeitstrahl

2026-09-21

DIVD meldet den ersten böswilligen Zugriff auf seine Systeme.^[1]

2026-09-22

DIVD entdeckt verdächtige Aktivität, sperrt den Zugriff auf Rechenzentrumssysteme und beginnt mit einem externen Forensikteam die Reaktion.^[1]

2026-09-24

DIVD zufolge wurde die Schwachstelle an Zammad gemeldet.^[2]

2026-09-29

DIVD veröffentlicht den Vorfallbericht und beschreibt die Zammad-Schwachstellen.^{[1], [2]}

2026-09-30

CVE-2026-102489 und CVE-2026-102490 werden veröffentlicht; DIVD beschreibt die verkettete Auswirkung.^{[2], [8], [6], [7]}

2026-10-02

Laut NVD wird CVE-2026-102489 in CISA KEV aufgenommen.^[5]

2026-10-05

Zammad veröffentlicht seine Einschätzung: CVE-2026-102489 ist unter den Laufzeitbedingungen ab 7.0 praktisch nicht ausnutzbar; CVE-2026-102490 ist lokal und wird noch untersucht.^{[3], [6], [7]}

2026-10-06

Zammad veröffentlicht 7.2.1 mit kritischen Sicherheitskorrekturen. Die Seite ordnet keine der beiden CVEs diesem Release zu; nehmen Sie nicht an, dass CVE-2026-102490 damit behoben ist.^[4]

2026-10-07

Zammad 7.2.1 verlinkt eine separate Meldung, GHSA-23hj-h8w6-rgm3, zu einer in 7.2.1 behobenen Offenlegung einer Sitzungskennung. Diese Meldung nennt keine CVE; die verfügbaren Quellen ordnen sie weder CVE-2026-102489 noch CVE-2026-102490 zu. Behandeln Sie die Probleme getrennt.^{[4], [9]}

2026-10-08

Zammad veröffentlichte 7.2.2 und verknüpfte GHSA-p97w-927q-8vxq mit dem DEB/RPM-spezifischen lokalen Rechteausweitungsproblem zu CVE-2026-102490. Der aktuelle DIVD-CVE-Eintrag nennt 7.2.2 ebenfalls als behobene Grenze; Quellcode-Installationen und offizielle Container sind ausgenommen.^{[10], [11], [12]}

Schritt-für-Schritt Angriffsablauf

Schritt 1

Der Erstzugriff nutzte einen Zammad-Zero-Day

DIVD berichtet, dass der Angreifer am 21. September 2026 über eine Zammad-Schwachstelle auf seine Systeme zugriff. Öffentliche Quellen enthalten nicht genug Implementierungsdetails, um die verwundbare Anfrage sicher und exakt nachzubilden.^{[1], [2]}

Schritt 2

CVE-2026-102489 erreichte das Dienstkonto

DIVD beschreibt eine Sitzungsübernahme mit anschließender Remote-Codeausführung als zammad. Betroffen seien 6.3.0–6.5.4; in 7.0.0–7.1.3 sei die Lücke vorhanden, unter den berichteten Laufzeitbedingungen aber nicht ausnutzbar. Zammad sagt, praktisch ausnutzbar sei sie nur bis 6.5; zusätzliche Härtung enthält 7.2.0.^{[2], [3], [6], [5]}

Schritt 3

Eine zweite Schwachstelle verschob die Auswirkungsgrenze

DIVD zufolge ermöglichte CVE-2026-102490 in diesem Vorfall dem lokalen Benutzer zammad nach dem ersten Zugriff über CVE-2026-102489 die Eskalation zu root. Der aktuelle DIVD-Eintrag und der Zammad/Maintainer-Hinweis vom 8. Oktober begrenzen die dokumentierte LPE auf DEB/RPM-Paketinstallationen; Quellcode-Installationen und offizielle Container sind ausgenommen. Zammad 7.2.2 behebt dieses Paketproblem. Übertragen Sie die paketbezogene Voraussetzung nicht auf jede Zammad-Bereitstellung.^{[8], [10], [2], [7], [12], [3], [11]}

Schritt 4

KI-Agenten kamen nach dem Root-Zugriff zum Einsatz

DIVD zufolge nutzte der Angreifer KI-Agenten für weitere Aktivitäten, nachdem er root erreicht hatte. Das beschreibt Vorgänge nach der Rechteausweitung, nicht den Mechanismus, der root ermöglichte. DIVDs Aussage belegt nicht, dass ein KI-Modell jede Aktion eigenständig auswählte oder ausführte.^[1]

Schritt 5

Jede CVE einzeln beheben und Nachweise prüfen

Beheben Sie die Kette je CVE und Installationsart. Für CVE-2026-102489 gelten Zammads Versions-/Laufzeitbedingungen und die zusätzliche Härtung in 7.2.0. Prüfen Sie bei CVE-2026-102490 die Paketquelle: Der aktuelle Hinweis betrifft DEB/RPM-Installationen und nennt 7.2.2 als behoben; Quellcode-Installationen und offizielle Container sind von diesem Paketproblem ausgenommen. Prüfen Sie den installierten Build. Dokumentieren Sie den widersprüchlichen älteren GHSA-Vektor als Quellenabweichung, nicht als Erreichbarkeitsnachweis.^{[10], [4], [12], [3], [11], [9]}

Warum kein Codepaar gezeigt wird

Die zitierte öffentliche Warnung beschreibt den Paketumfang und die korrigierte Version, enthält aber weder CVE-spezifische Quelltextzeilen noch einen Patch. Ein Codebeispiel würde Implementierungsdetails suggerieren, die die Quelle nicht zeigt. Aktualisieren Sie betroffene DEB/RPM-Pakete auf die unterstützte Version 7.2.2 oder höher und prüfen Sie den installierten Build.^[11]

Checkliste für Engineering & Systemsicherheit

✓Erfassen Sie Zammad-Edition, Version, Laufzeitumgebung und Exposition genau; prüfen Sie jede CVE anhand ihrer eigenen DIVD- und Herstellerbedingungen.^{[2], [3], [5], [6], [7]}
✓Ermitteln Sie für CVE-2026-102490 die Installationsart. Aktualisieren Sie DEB/RPM-Paketinstallationen auf 7.2.2 oder höher; Zammads Hinweis nimmt Quellcode-Installationen und offizielle Container-Images von diesem paketbezogenen Problem aus.^{[10], [4], [12], [3], [11]}
✓Verfolgen Sie den paketbezogenen Fix für CVE-2026-102490 getrennt von den älteren GHSA-HGFF-Metadaten; dokumentieren Sie Installationsart und behobenen Build und werten Sie den alten Netzwerkvektor nicht als Beleg für alleinige Remote-Ausnutzbarkeit.^{[7], [4], [12], [3], [11]}
✓Beschränken Sie den Zugriff auf den Zammad-Host auf vertrauenswürdige Administratoren; isolieren Sie das Dienstkonto und entfernen Sie unnötige Rechteausweitungswege.^{[2], [3]}
✓Segmentieren Sie den Helpdesk von Identitäts-, CI- und sensiblen Datensystemen; beschränken Sie den Netzwerkzugriff des Dienstkontos auf erforderliche Ziele.^[1]
✓Sichern Sie bei Verdacht Logs und forensische Abbilder, widerrufen Sie Sitzungen, rotieren Sie offengelegte Zugangsdaten und prüfen Sie verbundene Dienste.^[1]
✓Führen Sie getrennte Zustände für „betroffen“, „unter angegebener Laufzeit nicht ausnutzbar“, „vom Hersteller behoben“ und „Fix ausgerollt“; fassen Sie diese nicht zusammen.^{[3], [4], [8]}