flawopen.com/Incidents/divd-zammad-ai-agent-zero-day-chain-september-2026

● Dutch Institute for Vulnerability Disclosure (DIVD) · CVE-2026-102489 · 2026-09-21 · CVSS 9.4 · Kritis

Riset Keamanan · FlawOpen

Insiden DIVD-Zammad: CVE-2026-102489 dan 102490

Menurut DIVD, penyerang memperoleh akses root melalui dua kerentanan Zammad, lalu menggunakan agen AI untuk aktivitas lanjutan. CVE-2026-102490 berdampak pada paket DEB/RPM dan diperbaiki di versi 7.2.2.^{[10], [1], [2], [12], [3], [11]}

💡 Penjelasan Sederhana (ELI5)

Bayangkan seorang pengawas memulai pekerjaan dengan kunci utama, membaca dan menjalankan instruksi kerja yang dapat diubah pekerja junior, lalu baru menyerahkan kunci itu. Pekerja dapat mengubah apa yang dijalankan selama pengawas masih memiliki semua hak. Masalah paket Zammad menyangkut berkas yang dapat diubah akun zammad sebelum layanan yang berjalan sebagai root menurunkan haknya; akses awal tetap diperlukan dan cakupannya paket DEB/RPM. CVE ini sendiri tidak menyediakan akses awal.^{[1], [2], [3]}

Konsep Kunci & Istilah

CVE-2026-102489: DIVD menjelaskan pembajakan sesi Zammad yang berujung pada eksekusi kode jarak jauh sebagai pengguna layanan zammad. CWE-384 tercatat; GHSA mencantumkan CVSS 4.0 sebesar 9,4.^{[2], [5], [6]}
CVE-2026-102490: CVE-2026-102490 adalah eskalasi hak lokal khusus paket. Konfigurasi layanan DEB/RPM dapat menjalankan berkas yang dapat diubah akun zammad sebelum layanan yang berjalan sebagai root menurunkan haknya; penyerang perlu memiliki akses lebih dahulu beserta izin tulis atau eksekusi kode yang relevan. Kontainer resmi dan instalasi dari kode sumber tidak termasuk. Masalah paket diperbaiki pada Zammad 7.2.2.^{[8], [10], [2], [7], [12], [3], [11]}
CWE-384 / CWE-269: DIVD membedakan CVSS 4.0 8,5 (lokal, hak rendah) untuk CVE-2026-102490 saja dari 9,4 saat dirangkai dengan CVE-2026-102489. Catatan GHSA-HGFF yang lebih lama masih menampilkan 9,4 dengan vektor jaringan/tanpa hak akses untuk CVE-2026-102490 saja. Advisory paket Zammad/GHSA-p97 pada 8 Oktober memberikan 8,5 dan vektor lokal untuk masalah DEB/RPM. Sebutkan skenario dan sumber; jangan sajikan metadata lama sebagai bukti jangkauan jarak jauh yang berdiri sendiri. Untuk masalah khusus paket, GHSA-p97 juga memetakan CWE-250, CWE-426, dan CWE-732; pemetaan CWE-269 pada catatan DIVD/CVE merupakan atribusi terpisah.^{[10], [2], [6], [7], [3], [11]}
KEV: NVD menandai CVE-2026-102489 sebagai entri katalog CISA KEV. Jangan menyimpulkan CVE-2026-102490 juga tercantum.^[5]
Batas pengungkapan: Penasihat publik yang dikutip menjelaskan masalah paket dan versi perbaikannya, tetapi tidak menyertakan baris sumber atau patch khusus CVE ini. Karena itu, halaman ini tidak dapat menunjukkan perbaikan kode yang didukung sumber; ikuti panduan vendor untuk paket dan jangan menganggap contoh umum sebagai patch Zammad.^{[6], [7], [11]}

Pemetaan kerangka kerja

Referensi CWE untuk kelemahan yang dijelaskan dalam panduan ini: CWE-269 CWE-384
CISA KEV — ditambahkan 2026-10-02 — CVE-2026-102489

Temuan Zammad yang berbeda dan status perbaikan

Temuan	Status dan cakupan menurut sumber	Tindakan defensif
`CVE-2026-102489`	DIVD mencantumkan 6.3.0–6.5.4 dan 7.0.0–7.1.3; rentang kedua tidak dapat dieksploitasi pada runtime yang dilaporkan. Zammad menyatakan eksploitasi praktis terbatas pada 6.5 dan sebelumnya serta mendokumentasikan hardening tambahan di 7.2.0.	Nilai versi dan runtime yang tepat berdasarkan panduan Zammad dan DIVD. Advisory 7.2.1 yang terpisah bukan bukti bahwa CVE ini diperbaiki di versi tersebut.
`CVE-2026-102490`	Catatan DIVD terkini dan advisory Zammad/GHSA-p97 8 Oktober membatasi eskalasi lokal ini pada instalasi DEB/RPM; akses awal sebagai akun zammad tanpa hak istimewa diperlukan. Masalah paket diperbaiki pada 7.2.2; instalasi sumber dan kontainer resmi dikecualikan. DIVD memberi nilai 8,5 dengan vektor lokal untuk LPE saja dan 9,4 untuk rantai dengan `CVE-2026-102489`. Catatan GHSA-HGFF lama masih mencantumkan vektor jaringan yang bertentangan untuk CVE itu saja.	Verifikasi asal instalasi. Tingkatkan paket DEB/RPM ke 7.2.2 atau yang lebih baru; instalasi sumber dan kontainer resmi dikecualikan dari masalah khusus paket ini. Bedakan skenario mandiri dan berantai.
GHSA-23hj-h8w6-rgm3 (masalah terpisah)	Advisory tanpa CVE ini mencakup paparan pengenal sesi hingga 7.2.0 dan menyatakan 7.2.1 sebagai versi perbaikan. Sumber yang dikutip tidak mengaitkannya dengan kedua CVE di atas.	Pisahkan pengungkapan ini; jangan gunakan perbaikan 7.2.1 sebagai bukti bahwa salah satu CVE DIVD telah diatasi.

Kronologi Insiden

2026-09-21

DIVD melaporkan akses berbahaya pertama ke sistemnya.^[1]

2026-09-22

DIVD mendeteksi aktivitas mencurigakan, memblokir akses ke sistem pusat data, dan memulai respons insiden bersama tim forensik eksternal.^[1]

2026-09-24

DIVD menyatakan kerentanan dilaporkan ke Zammad.^[2]

2026-09-29

DIVD menerbitkan kasus insiden dan menjelaskan kerentanan Zammad.^{[1], [2]}

2026-09-30

CVE-2026-102489 dan CVE-2026-102490 diterbitkan; DIVD menjelaskan rantai dampaknya.^{[2], [8], [6], [7]}

2026-10-02

Menurut NVD, CVE-2026-102489 ditambahkan ke CISA KEV.^[5]

2026-10-05

Zammad menerbitkan penilaian: CVE-2026-102489 tidak praktis dieksploitasi pada 7.0+ dengan kondisi runtime-nya; CVE-2026-102490 bersifat lokal dan masih dianalisis.^{[3], [6], [7]}

2026-10-06

Zammad merilis 7.2.1 dengan perbaikan keamanan kritis. Halaman rilis tidak memetakan kedua CVE ke versi ini; jangan anggap CVE-2026-102490 telah diperbaiki.^[4]

2026-10-07

Zammad 7.2.1 menautkan advisori terpisah GHSA-23hj-h8w6-rgm3 tentang paparan pengenal sesi yang diperbaiki pada versi 7.2.1. Advisori itu tidak mencantumkan CVE; sumber yang tersedia tidak mengaitkannya dengan CVE-2026-102489 maupun CVE-2026-102490. Pisahkan penanganan masalah ini.^{[4], [9]}

2026-10-08

Zammad merilis 7.2.2 dan menautkan GHSA-p97w-927q-8vxq ke masalah eskalasi hak lokal khusus paket DEB/RPM yang terkait dengan CVE-2026-102490. Catatan CVE DIVD terkini juga menyebut 7.2.2 sebagai batas versi perbaikan; instalasi sumber dan kontainer resmi dikecualikan.^{[10], [11], [12]}

Alur Serangan Langkah demi Langkah

Langkah 1

Akses awal memakai zero-day Zammad

DIVD melaporkan penyerang mengakses sistemnya pada 21 September 2026 melalui kerentanan Zammad. Sumber publik tidak mengungkap detail implementasi yang cukup untuk mereproduksi permintaan rentan dengan aman dan akurat.^{[1], [2]}

Langkah 2

CVE-2026-102489 mencapai akun layanan

DIVD menjelaskan pembajakan sesi yang memungkinkan eksekusi kode jarak jauh sebagai pengguna zammad. Versi 6.3.0–6.5.4 terdampak; kerentanan juga ada pada 7.0.0–7.1.3 tetapi tidak dapat dieksploitasi dalam kondisi runtime yang dilaporkan. Zammad menyatakan eksploitasi praktis hanya sampai 6.5; hardening tambahan ada di 7.2.0.^{[2], [3], [6], [5]}

Langkah 3

Celah kedua mengubah batas dampak

DIVD menyatakan bahwa dalam insiden ini CVE-2026-102490 memungkinkan pengguna lokal zammad menjadi root setelah akses awal melalui CVE-2026-102489. Catatan DIVD terkini dan advisory Zammad/pemelihara 8 Oktober membatasi LPE yang dijelaskan pada instalasi paket DEB/RPM; instalasi sumber dan kontainer resmi tidak terdampak. Zammad 7.2.2 memperbaiki masalah paket tersebut. Jangan menggeneralisasi kondisi khusus paket ini ke semua deployment Zammad.^{[8], [10], [2], [7], [12], [3], [11]}

Langkah 4

Agen AI digunakan setelah akses root diperoleh

DIVD menyatakan bahwa setelah penyerang memperoleh root, pelaku menggunakan agen AI untuk aktivitas lanjutan. Ini menjelaskan kegiatan setelah eskalasi hak, bukan mekanisme untuk memperoleh root. Pernyataan DIVD tidak membuktikan bahwa model AI secara mandiri memilih atau menjalankan setiap tindakan.^[1]

Langkah 5

Perbaiki per CVE dan verifikasi buktinya

Perbaiki tiap bagian rantai berdasarkan CVE dan jenis deployment. Untuk CVE-2026-102489, ikuti panduan versi/runtime Zammad serta pemberitahuan hardening tambahan di 7.2.0. Untuk CVE-2026-102490, verifikasi asal paket: advisory terbaru mencakup instalasi DEB/RPM dan menyebut 7.2.2 sebagai versi perbaikan; instalasi sumber dan kontainer resmi dikecualikan dari masalah paket ini. Verifikasi build yang terpasang. Catat vektor GHSA lama yang bertentangan sebagai perbedaan sumber, bukan kesimpulan jangkauan.^{[10], [4], [12], [3], [11], [9]}

Mengapa pasangan kode tidak ditampilkan

Penasihat publik yang dikutip menjelaskan cakupan paket dan versi perbaikannya, tetapi tidak menyertakan baris sumber atau patch khusus CVE ini. Contoh kode akan menyiratkan detail implementasi yang tidak ditunjukkan sumber. Untuk paket DEB/RPM yang terdampak, pastikan pembaruan yang didukung ke versi 7.2.2 atau lebih baru dan verifikasi build yang terpasang.^[11]

Daftar Periksa Penguatan Sistem Rekayasa

✓Catat edisi, versi, runtime, dan paparan Zammad yang tepat; bandingkan tiap CVE dengan kondisi DIVD dan vendor masing-masing.^{[2], [3], [5], [6], [7]}
✓Untuk CVE-2026-102490, identifikasi cara Zammad diinstal. Tingkatkan instalasi paket DEB/RPM ke 7.2.2 atau yang lebih baru; advisory Zammad mengecualikan instalasi sumber dan image kontainer resmi dari masalah khusus paket ini.^{[10], [4], [12], [3], [11]}
✓Lacak perbaikan khusus paket untuk CVE-2026-102490 secara terpisah dari metadata GHSA-HGFF lama; catat jenis instalasi dan build yang sudah diperbaiki, dan jangan anggap vektor jaringan lama sebagai bukti eksploitasi jarak jauh mandiri.^{[7], [4], [12], [3], [11]}
✓Batasi akses ke host Zammad untuk administrator tepercaya; isolasi akun layanan dan hapus jalur eskalasi hak yang tidak diperlukan.^{[2], [3]}
✓Segmentasikan help desk dari sistem identitas, CI, dan data sensitif; batasi tujuan jaringan akun layanan sesuai kebutuhan.^[1]
✓Jika dicurigai terjadi pembobolan, simpan log dan citra forensik, cabut sesi, rotasi kredensial yang terpapar, dan tinjau akses ke layanan terhubung.^[1]
✓Pisahkan status “terdampak”, “tidak dapat dieksploitasi dalam runtime yang disebut”, “diperbaiki vendor”, dan “perbaikan diterapkan”; jangan gabungkan semuanya.^{[3], [4], [8]}