FlawOpen

flawopen.com/Incidents/divd-zammad-ai-agent-zero-day-chain-september-2026

● Dutch Institute for Vulnerability Disclosure (DIVD) · CVE-2026-102489 · 2026-09-21 · CVSS 9.4 · अति गंभीर
सुरक्षा अनुसंधान · FlawOpen

DIVD का Zammad उल्लंघन: CVE-2026-102489 और 102490

DIVD के अनुसार, हमलावरों ने Zammad की दो कमजोरियों से root access पाया और उसके बाद आगे की गतिविधियों के लिए AI agents का उपयोग किया। CVE-2026-102490 DEB/RPM packages को प्रभावित करती है और 7.2.2 में ठीक की गई है।[10], [1], [2], [12], [3], [11]

💡 आसान भाषा में (ELI5)

कल्पना करें कि एक पर्यवेक्षक master keys के साथ काम शुरू करता है, ऐसा work order पढ़कर चलाता है जिसे कोई कनिष्ठ कर्मचारी बदल सकता है, और उसके बाद ही master keys छोड़ता है। पर्यवेक्षक के पास पूरा अधिकार रहते हुए कर्मचारी चलने वाली चीज़ बदल सकता है। Zammad package issue में root पर चलने वाली service के privilege छोड़ने से पहले ऐसे files चल सकते हैं जिन्हें zammad account बदल सकता है; इसके लिए पहले से system access चाहिए और प्रभाव DEB/RPM packages तक है। यह CVE स्वयं शुरुआती access नहीं देती।[1], [2], [3]

इस पेज के मुख्य शब्द

CVE-2026-102489
DIVD Zammad में session hijacking का वर्णन करता है, जिससे zammad service user के रूप में दूरस्थ code execution संभव हुआ। CWE-384 दर्ज है; GHSA का CVSS 4.0 स्कोर 9.4 है।[2], [5], [6]
CVE-2026-102490
CVE-2026-102490 packages से जुड़ी स्थानीय privilege escalation है। DEB/RPM service setup, root पर चलने वाली service के privileges छोड़ने से पहले, ऐसे files चला सकता है जिन्हें कम अधिकार वाला zammad account बदल सकता है। इसलिए हमलावर के पास पहले से access और संबंधित write permission या code execution होना चाहिए। Official containers और source installs इसके दायरे से बाहर हैं। Zammad 7.2.2 में ठीक किया गया है.[8], [10], [2], [7], [12], [3], [11]
CWE-384 / CWE-269
DIVD, CVE-2026-102490 के अकेले उपयोग के लिए CVSS 4.0 8.5 (local, low privileges) और CVE-2026-102489 के साथ chain होने पर 9.4 में अंतर करता है। पुराने GHSA-HGFF रिकॉर्ड में अब भी अकेले CVE-2026-102490 के लिए 9.4 और network/no-privileges vector है। 8 अक्टूबर का Zammad/GHSA-p97 package advisory DEB/RPM समस्या के लिए 8.5 और local vector देता है। Scenario और source बताएँ; पुराने metadata को अकेले remote reachability का प्रमाण न मानें। Package-specific issue के लिए GHSA-p97 CWE-250, CWE-426 और CWE-732 भी map करता है; DIVD/CVE record का CWE-269 एक अलग source attribution है।[10], [2], [6], [7], [3], [11]
KEV
NVD बताता है कि CVE-2026-102489 CISA KEV में शामिल है। यह न मानें कि CVE-2026-102490 भी सूची में है।[5]
प्रकटीकरण सीमा
उद्धृत सार्वजनिक advisory package issue और fixed version बताती है, लेकिन इसमें इस CVE की source lines या patch नहीं हैं। इसलिए यह पृष्ठ स्रोत-समर्थित code fix नहीं दिखा सकता; सामान्य उदाहरण को Zammad patch मानने के बजाय vendor की package guidance अपनाएँ।[6], [7], [11]

फ्रेमवर्क मैपिंग

Zammad की अलग-अलग समस्याएँ और patch स्थिति

समस्यास्रोत के अनुसार स्थिति और दायरारक्षात्मक कार्रवाई
CVE-2026-102489DIVD 6.3.0–6.5.4 और 7.0.0–7.1.3 बताता है; दूसरा range उसके बताए runtime में exploit योग्य नहीं था। Zammad कहता है कि व्यावहारिक exploitation 6.5 और पुराने संस्करणों तक सीमित है तथा 7.2.0 में अतिरिक्त hardening किया गया।Zammad और DIVD के मार्गदर्शन के अनुसार सटीक version और runtime जाँचें। अलग 7.2.1 advisory यह प्रमाण नहीं है कि यह CVE उस संस्करण में ठीक हुई।
CVE-2026-102490DIVD का वर्तमान रिकॉर्ड और 8 अक्टूबर का Zammad/GHSA-p97 advisory इस local privilege escalation को DEB/RPM installs तक सीमित बताता है; unprivileged zammad account के रूप में पहले से access चाहिए। Package issue 7.2.2 में fixed है; source installs और official containers इससे बाहर हैं। DIVD अकेले LPE को local vector के साथ 8.5 और CVE-2026-102489 के साथ chain को 9.4 देता है। पुराने GHSA-HGFF record में अकेले CVE के लिए विरोधी network vector अभी भी है।Installation का package origin जाँचें। DEB/RPM installs को 7.2.2 या बाद के version पर upgrade करें; source और official container installs इस package-specific issue से बाहर हैं। Stand-alone और chained scenarios अलग रखें।
GHSA-23hj-h8w6-rgm3 (अलग समस्या)यह बिना CVE वाली advisory 7.2.0 तक session-identifier exposure और 7.2.1 में उसके fix की बात करती है। उद्धृत स्रोत इसे ऊपर की किसी CVE से नहीं जोड़ते।इस disclosure को अलग रखें; 7.2.1 के fix को DIVD की किसी CVE के समाधान का प्रमाण न मानें।

घटना का समयक्रम (Timeline)

2026-09-21

DIVD ने अपने systems पर पहली दुर्भावनापूर्ण पहुँच की सूचना दी।[1]

2026-09-22

DIVD ने संदिग्ध गतिविधि देखी, datacenter systems की पहुँच रोकी और बाहरी forensic team के साथ incident response शुरू किया।[1]

2026-09-24

DIVD के अनुसार उसने Zammad को vulnerability की सूचना दी।[2]

2026-09-29

DIVD ने incident case प्रकाशित कर Zammad vulnerabilities का वर्णन किया।[1], [2]

2026-09-30

CVE-2026-102489 और CVE-2026-102490 प्रकाशित हुए; DIVD ने उनकी संयुक्त श्रृंखला बताई।[2], [8], [6], [7]

2026-10-02

NVD के अनुसार CVE-2026-102489 को CISA KEV में जोड़ा गया।[5]

2026-10-05

Zammad ने अपना आकलन दिया: runtime स्थितियों में 7.0+ पर CVE-2026-102489 व्यवहार में exploitable नहीं; CVE-2026-102490 स्थानीय है और जाँच जारी है।[3], [6], [7]

2026-10-06

Zammad ने critical security fixes वाला 7.2.1 जारी किया। release page दोनों में से किसी CVE को इस version से नहीं जोड़ता; CVE-2026-102490 को fixed न मानें।[4]

2026-10-07

Zammad 7.2.1 एक अलग सलाह GHSA-23hj-h8w6-rgm3 से लिंक करता है। यह सत्र पहचानकर्ता के खुलासे से जुड़ी समस्या है, जिसे 7.2.1 में ठीक किया गया। उस सलाह में कोई CVE नहीं दिया गया है; उपलब्ध स्रोत इसे CVE-2026-102489 या CVE-2026-102490 से नहीं जोड़ते। इन समस्याओं को अलग रखें।[4], [9]

2026-10-08

Zammad ने 7.2.2 जारी किया और GHSA-p97w-927q-8vxq को CVE-2026-102490 वाले DEB/RPM-only local privilege-escalation issue से जोड़ा। DIVD का वर्तमान CVE record भी 7.2.2 को fixed boundary बताता है; source installs और official containers बाहर हैं।[10], [11], [12]

हमले का चरण-दर-चरण प्रवाह

चरण 1

प्रारंभिक पहुँच Zammad zero-day से हुई

DIVD बताता है कि हमलावर ने 21 सितंबर 2026 को Zammad vulnerability का उपयोग कर systems तक पहुँच बनाई। सार्वजनिक स्रोतों में vulnerable request को सुरक्षित और सटीक रूप से दोहराने के लिए पर्याप्त implementation detail नहीं है।[1], [2]

चरण 2

CVE-2026-102489 service account तक पहुँची

DIVD session hijacking से zammad user के रूप में remote code execution का वर्णन करता है। 6.3.0–6.5.4 प्रभावित हैं; 7.0.0–7.1.3 में खामी मौजूद थी, लेकिन बताए गए runtime में exploitable नहीं थी। Zammad कहता है कि व्यावहारिक exploitation 6.5 और पुराने तक है; अतिरिक्त hardening 7.2.0 में है।[2], [3], [6], [5]

चरण 3

दूसरी खामी ने प्रभाव-सीमा बदली

DIVD के अनुसार इस incident में CVE-2026-102489 से शुरुआती foothold मिलने के बाद CVE-2026-102490 ने local zammad user को root तक पहुँचाया। DIVD का वर्तमान रिकॉर्ड और 8 अक्टूबर का Zammad/maintainer advisory बताता है कि यह LPE DEB/RPM package installs तक सीमित है; source installs और official containers इससे प्रभावित नहीं हैं। Zammad 7.2.2 package वाली समस्या ठीक करता है। इस package-specific शर्त को हर Zammad deployment पर लागू न मानें।[8], [10], [2], [7], [12], [3], [11]

चरण 4

root access के बाद AI agents का उपयोग हुआ

DIVD का कहना है कि root तक पहुँचने के बाद हमलावर ने आगे की गतिविधियों के लिए AI agents का उपयोग किया। यह privilege escalation के बाद की कार्रवाई है, root पाने का तरीका नहीं। DIVD का कथन यह साबित नहीं करता कि AI model ने हर कार्रवाई स्वतंत्र रूप से चुनी या की।[1]

चरण 5

हर CVE को अलग ठीक करें और प्रमाण जाँचें

CVE और deployment type के अनुसार chain के दोनों हिस्से ठीक करें। CVE-2026-102489 के लिए Zammad के version/runtime guidance और 7.2.0 की अतिरिक्त hardening सूचना देखें। CVE-2026-102490 के लिए package origin सत्यापित करें: current advisory DEB/RPM installs को कवर करता है और 7.2.2 को fixed बताता है; source installs और official containers इस packaging issue के दायरे से बाहर हैं। Installed build जाँचें। पुराने GHSA के विरोधी vector को source discrepancy के रूप में दर्ज करें, reachability का निष्कर्ष न बनाएँ।[10], [4], [12], [3], [11], [9]

कोड जोड़ी क्यों नहीं दिखाई गई

उद्धृत सार्वजनिक advisory package scope और fixed version बताती है, लेकिन इसमें इस CVE की source lines या patch नहीं हैं। Code example ऐसे implementation details का संकेत देगा जिन्हें स्रोत नहीं दिखाता। प्रभावित DEB/RPM packages के लिए समर्थित तरीके से 7.2.2 या उसके बाद के संस्करण पर अपडेट और installed build की पुष्टि करें।[11]

इंजीनियरिंग और सिस्टम सुरक्षा चेकलिस्ट

स्रोत