flawopen.com/Incidents/divd-zammad-ai-agent-zero-day-chain-september-2026

● Dutch Institute for Vulnerability Disclosure (DIVD) · CVE-2026-102489 · 2026-09-21 · CVSS 9.4 · Crítica

Investigación · FlawOpen

Brecha DIVD-Zammad: CVE-2026-102489 y 102490

DIVD afirma que los atacantes llegaron a root mediante dos vulnerabilidades de Zammad y después usaron agentes de IA para continuar sus actividades. CVE-2026-102490 afecta a paquetes DEB/RPM y se corrigió en 7.2.2.^{[10], [1], [2], [12], [3], [11]}

💡 Explicación en Lenguaje Sencillo (ELI5)

Imagina a una persona supervisora que empieza con las llaves maestras, lee y ejecuta una orden de mantenimiento que alguien de menor rango puede editar, y solo después deja esas llaves. Esa persona puede cambiar lo que se ejecutará mientras la supervisora aún conserva todos los permisos. El problema de los paquetes de Zammad afecta a archivos que la cuenta zammad puede modificar antes de que un servicio iniciado como root reduzca sus privilegios; requiere acceso previo y afecta a DEB/RPM. Esta CVE no proporciona el acceso inicial.^{[1], [2], [3]}

Conceptos Clave y Términos

CVE-2026-102489: DIVD describe un problema de secuestro de sesión en Zammad que permite ejecutar código remotamente como el usuario de servicio zammad. Se registra CWE-384; GHSA asigna CVSS 4.0 de 9,4.^{[2], [5], [6]}
CVE-2026-102490: CVE-2026-102490 es una escalada local de privilegios específica de los paquetes. La configuración DEB/RPM puede ejecutar archivos modificables por la cuenta sin privilegios zammad antes de que un servicio iniciado como root reduzca sus privilegios; por tanto, el atacante necesita acceso previo y los permisos pertinentes de escritura o ejecución de código. Los contenedores oficiales y las instalaciones desde el código fuente quedan excluidos. Zammad 7.2.2 corrige el problema.^{[8], [10], [2], [7], [12], [3], [11]}
CWE-384 / CWE-269: DIVD distingue CVSS 4.0 8,5 (local, pocos privilegios) para CVE-2026-102490 por sí sola de 9,4 cuando se encadena con CVE-2026-102489. El GHSA-HGFF anterior sigue mostrando 9,4 con vector de red/sin privilegios para CVE-2026-102490 aislada. El aviso de paquetes Zammad/GHSA-p97 del 8 de octubre asigna 8,5 y vector local al problema de DEB/RPM. Indique el escenario y la fuente; no presente los metadatos anteriores como prueba de alcance remoto independiente. Para el problema específico de los paquetes, GHSA-p97 también asigna CWE-250, CWE-426 y CWE-732; la asignación CWE-269 del registro DIVD/CVE es una atribución distinta.^{[10], [2], [6], [7], [3], [11]}
KEV: NVD marca CVE-2026-102489 como incluida en el catálogo CISA KEV. No deduzca que CVE-2026-102490 también aparece allí.^[5]
Límite de divulgación: El aviso público citado describe el problema de los paquetes y la versión corregida, pero no incluye líneas de código ni un parche específicos de la CVE. Por eso, esta página no puede mostrar una corrección de código respaldada por fuentes; sigue la guía del proveedor para los paquetes en vez de tomar un ejemplo genérico como el parche de Zammad.^{[6], [7], [11]}

Mapeos de marcos

Referencia CWE para la debilidad descrita en esta guía: CWE-269 CWE-384
CISA KEV — añadido el 2026-10-02 — CVE-2026-102489

Hallazgos distintos de Zammad y estado de las correcciones

Hallazgo	Estado y alcance según las fuentes	Acción defensiva
`CVE-2026-102489`	DIVD indica las versiones 6.3.0–6.5.4 y 7.0.0–7.1.3; el segundo rango no era explotable en el entorno descrito. Zammad afirma que la explotación práctica se limita a 6.5 y anteriores y documenta un refuerzo adicional en 7.2.0.	Evalúa la versión y el entorno de ejecución exactos según las indicaciones de Zammad y DIVD. El aviso independiente de 7.2.1 no demuestra que esta CVE se corrigiera allí.
`CVE-2026-102490`	El registro actual de DIVD y el aviso Zammad/GHSA-p97 del 8 de octubre limitan esta escalada local a instalaciones DEB/RPM; se requiere acceso previo como la cuenta zammad sin privilegios. El problema de los paquetes se corrigió en 7.2.2; las instalaciones desde código fuente y los contenedores oficiales quedan excluidos. DIVD asigna 8,5 local al CVE aislado y 9,4 a la cadena con `CVE-2026-102489`. Un GHSA-HGFF anterior aún muestra un vector de red contradictorio para el CVE aislado.	Compruebe el origen de la instalación. Actualice los paquetes DEB/RPM a 7.2.2 o posterior; las instalaciones desde código fuente y los contenedores oficiales quedan excluidos de este problema específico. Distinga los escenarios aislado y encadenado.
GHSA-23hj-h8w6-rgm3 (problema distinto)	Este aviso sin CVE cubre la exposición de identificadores de sesión hasta 7.2.0 e indica que 7.2.1 lo corrige. Las fuentes citadas no lo relacionan con las CVE anteriores.	Mantén esta divulgación separada; no uses la corrección de 7.2.1 como prueba de que se resolvió ninguna CVE de DIVD.

Cronología del Incidente

2026-09-21

DIVD informa del primer acceso malicioso a sus sistemas.^[1]

2026-09-22

DIVD detectó actividad sospechosa, bloqueó el acceso a los sistemas del centro de datos e inició la respuesta a incidentes con un equipo forense externo.^[1]

2026-09-24

DIVD afirma que notificó la vulnerabilidad a Zammad.^[2]

2026-09-29

DIVD publicó su caso del incidente y describió las vulnerabilidades de Zammad.^{[1], [2]}

2026-09-30

Se publicaron CVE-2026-102489 y CVE-2026-102490; DIVD describió la cadena entre ambas.^{[2], [8], [6], [7]}

2026-10-02

Según NVD, CVE-2026-102489 se añadió a CISA KEV.^[5]

2026-10-05

Zammad publicó su evaluación: CVE-2026-102489 no es explotable en la práctica en 7.0+ bajo sus condiciones de runtime; CVE-2026-102490 es local y seguía bajo análisis.^{[3], [6], [7]}

2026-10-06

Zammad publicó 7.2.1 con correcciones de seguridad críticas. La página no vincula ninguna de estas CVE con esa versión; no dé por hecho que corrige CVE-2026-102490.^[4]

2026-10-07

Zammad 7.2.1 enlaza un aviso independiente, GHSA-23hj-h8w6-rgm3, sobre la exposición de identificadores de sesión corregida en 7.2.1. Ese aviso no incluye un CVE; las fuentes disponibles no lo vinculan con CVE-2026-102489 ni CVE-2026-102490. Mantén los problemas separados.^{[4], [9]}

2026-10-08

Zammad publicó 7.2.2 y enlazó GHSA-p97w-927q-8vxq con el problema de escalada local en paquetes DEB/RPM asociado a CVE-2026-102490. El registro actual de DIVD también fija 7.2.2 como límite corregido; las instalaciones desde el código fuente y los contenedores oficiales quedan excluidos.^{[10], [11], [12]}

Flujo de Ataque Paso a Paso

Paso 1

El acceso inicial explotó un zero-day de Zammad

DIVD informa que el atacante accedió a sus sistemas el 21 de septiembre de 2026 mediante una vulnerabilidad de Zammad. Las fuentes públicas no revelan suficiente detalle de implementación para reproducir la solicitud vulnerable con seguridad o precisión.^{[1], [2]}

Paso 2

CVE-2026-102489 alcanzó la cuenta de servicio

DIVD describe un secuestro de sesión que lleva a ejecución remota de código como el usuario zammad. Indica 6.3.0–6.5.4 como afectadas y 7.0.0–7.1.3 como versiones donde el fallo existe, pero no es explotable bajo las condiciones de entorno descritas. Zammad afirma que solo es práctico hasta 6.5; el hardening adicional está en 7.2.0.^{[2], [3], [6], [5]}

Paso 3

Un segundo fallo cambió el límite de impacto

DIVD afirma que, en este incidente, CVE-2026-102490 permitió al usuario local zammad llegar a root después del acceso inicial obtenido mediante CVE-2026-102489. El registro actual de DIVD y el aviso de Zammad/mantenedores del 8 de octubre limitan la escalada documentada a instalaciones de paquetes DEB/RPM; las instalaciones desde el código fuente y los contenedores oficiales quedan excluidos. Zammad 7.2.2 corrige este problema de los paquetes. No generalice la condición específica de los paquetes a todas las instalaciones de Zammad.^{[8], [10], [2], [7], [12], [3], [11]}

Paso 4

Los agentes de IA se usaron después de obtener root

DIVD afirma que, después de que el atacante obtuvo root, utilizó agentes de IA para continuar sus actividades. Esto describe actividad posterior a la escalada de privilegios, no el mecanismo que permitió obtener root. La declaración de DIVD no demuestra que un modelo de IA eligiera o ejecutara cada acción por su cuenta.^[1]

Paso 5

Corrija por CVE y verifique las pruebas

Corrija cada eslabón según el CVE y el tipo de despliegue. Para CVE-2026-102489, siga las condiciones de versión/runtime de Zammad y su aviso de endurecimiento adicional en 7.2.0. Para CVE-2026-102490, compruebe el origen del paquete: el aviso actual cubre instalaciones DEB/RPM y señala 7.2.2 como versión corregida; las instalaciones desde código fuente y los contenedores oficiales quedan excluidos de este problema de empaquetado. Verifique la versión instalada. Mantenga el vector contradictorio del GHSA anterior como discrepancia entre fuentes, no como conclusión de alcance.^{[10], [4], [12], [3], [11], [9]}

Por qué no se muestra un par de código

El aviso público citado documenta el alcance de los paquetes y la versión corregida, pero no incluye líneas de código ni un parche específicos de la CVE. Un ejemplo sugeriría detalles de implementación que la fuente no muestra. Para los paquetes DEB/RPM afectados, verifica la actualización admitida a 7.2.2 o posterior y confirma la versión instalada.^[11]

Lista de Verificación de Seguridad para Ingeniería

✓Inventaríe edición, versión, runtime y exposición exactos de Zammad; compare cada CVE con sus condiciones específicas del proveedor y de DIVD.^{[2], [3], [5], [6], [7]}
✓Para CVE-2026-102490, identifique cómo se instaló Zammad. Actualice las instalaciones con paquetes DEB/RPM a 7.2.2 o posterior; el aviso de Zammad excluye las instalaciones desde el código fuente y las imágenes oficiales de contenedor de este problema específico de empaquetado.^{[10], [4], [12], [3], [11]}
✓Haga seguimiento por separado de la corrección específica de paquetes de CVE-2026-102490 y de los metadatos anteriores de GHSA-HGFF; registre el tipo de instalación y la versión corregida, sin tratar el antiguo vector de red como prueba de explotación remota por sí sola.^{[7], [4], [12], [3], [11]}
✓Limite el acceso al host de Zammad a administradores de confianza; aísle la cuenta de servicio y elimine vías innecesarias de elevación de privilegios.^{[2], [3]}
✓Segmente el servicio de asistencia respecto de identidad, CI y sistemas con datos sensibles; limite el acceso de red de la cuenta de servicio a los destinos necesarios.^[1]
✓Ante una posible intrusión, preserve registros e imágenes forenses, invalide sesiones, rote credenciales expuestas y revise el acceso a servicios conectados.^[1]
✓Mantenga estados separados para “afectada”, “no explotable bajo el runtime indicado”, “corregida por el proveedor” y “corrección desplegada”; no los reduzca a un único estado.^{[3], [4], [8]}