flawopen.com/Incidents/divd-zammad-ai-agent-zero-day-chain-september-2026

● Dutch Institute for Vulnerability Disclosure (DIVD) · CVE-2026-102489 · 2026-09-21 · CVSS 9.4 · Crítica

Pesquisa · FlawOpen

Invasão à DIVD via Zammad: CVE-2026-102489 e 102490

A DIVD afirma que invasores chegaram a root por duas vulnerabilidades do Zammad e, depois, usaram agentes de IA em outras atividades. CVE-2026-102490 afeta pacotes DEB/RPM e foi corrigida na versão 7.2.2.^{[10], [1], [2], [12], [3], [11]}

💡 Explicação em Linguagem Simples (ELI5)

Imagine uma supervisora que começa com as chaves mestras, lê e executa uma ordem de serviço que uma pessoa auxiliar pode editar e só depois abre mão das chaves. Essa pessoa pode alterar o que será executado enquanto a supervisora ainda tem acesso total. O problema nos pacotes do Zammad envolve arquivos que a conta zammad pode alterar antes de um serviço iniciado como root reduzir seus privilégios; é necessário já ter acesso ao sistema, e o escopo é DEB/RPM. Esta CVE não fornece o acesso inicial.^{[1], [2], [3]}

Conceitos Centrais e Termos

CVE-2026-102489: A DIVD descreve um problema de sequestro de sessão no Zammad que leva à execução remota de código como o usuário de serviço zammad. CWE-384 está registrada; o GHSA lista CVSS 4.0 9,4.^{[2], [5], [6]}
CVE-2026-102490: CVE-2026-102490 é uma elevação local de privilégios específica dos pacotes. A configuração do serviço DEB/RPM pode executar arquivos alteráveis pela conta sem privilégios zammad antes que o serviço iniciado como root reduza seus privilégios; por isso, o invasor precisa de acesso prévio e da permissão de escrita ou execução de código pertinente. Contêineres oficiais e instalações a partir do código-fonte estão fora do escopo. O Zammad 7.2.2 corrige o problema nos pacotes.^{[8], [10], [2], [7], [12], [3], [11]}
CWE-384 / CWE-269: A DIVD distingue CVSS 4.0 8,5 (local, poucos privilégios) para a CVE-2026-102490 isolada de 9,4 quando encadeada com a CVE-2026-102489. O registro GHSA-HGFF mais antigo ainda mostra 9,4 com vetor de rede/sem privilégios para a CVE-2026-102490 isolada. O aviso de pacote Zammad/GHSA-p97 de 8 de outubro atribui 8,5 e vetor local ao problema de DEB/RPM. Informe o cenário e a fonte; não apresente os metadados antigos como prova de acesso remoto isolado. Para o problema específico dos pacotes, o GHSA-p97 também associa CWE-250, CWE-426 e CWE-732; a atribuição CWE-269 no registro DIVD/CVE é uma classificação separada.^{[10], [2], [6], [7], [3], [11]}
KEV: O NVD marca a CVE-2026-102489 como presente no catálogo CISA KEV. Não presuma que a CVE-2026-102490 também esteja listada.^[5]
Limite da divulgação: O comunicado público citado descreve o problema dos pacotes e a versão corrigida, mas não inclui linhas de código nem patch específicos da CVE. Portanto, esta página não pode mostrar uma correção de código baseada em fontes; siga a orientação do fornecedor para os pacotes em vez de tratar um exemplo genérico como o patch do Zammad.^{[6], [7], [11]}

Mapeamentos de frameworks

Referência CWE para a fraqueza descrita neste guia: CWE-269 CWE-384
CISA KEV — adicionado em 2026-10-02 — CVE-2026-102489

Falhas distintas do Zammad e status das correções

Falha	Status e escopo segundo as fontes	Ação defensiva
`CVE-2026-102489`	A DIVD lista 6.3.0–6.5.4 e 7.0.0–7.1.3; a última faixa não era explorável no runtime relatado. O Zammad diz que a exploração prática se limita à 6.5 e anteriores e documenta hardening adicional na 7.2.0.	Compare a versão e o runtime exatos com as orientações do Zammad e da DIVD. O aviso separado da 7.2.1 não prova que esta CVE foi corrigida nessa versão.
`CVE-2026-102490`	O registro atual da DIVD e o aviso Zammad/GHSA-p97 de 8 de outubro limitam essa elevação local a instalações DEB/RPM; é necessário acesso prévio como a conta zammad sem privilégios. O problema nos pacotes foi corrigido no 7.2.2; instalações a partir do código-fonte e contêineres oficiais estão excluídos. A DIVD atribui 8,5 local à CVE isolada e 9,4 à cadeia com a `CVE-2026-102489`. Um GHSA-HGFF mais antigo ainda lista um vetor de rede conflitante para a CVE isolada.	Verifique a origem da instalação. Atualize pacotes DEB/RPM para 7.2.2 ou posterior; instalações a partir do código-fonte e contêineres oficiais estão excluídos desse problema específico. Mantenha distintos os cenários isolado e encadeado.
GHSA-23hj-h8w6-rgm3 (problema distinto)	Este aviso sem CVE trata da exposição de identificador de sessão até a 7.2.0 e indica a 7.2.1 como corrigida. As fontes citadas não o relacionam às CVEs acima.	Mantenha a divulgação separada; não use a correção da 7.2.1 como prova de que alguma das CVEs da DIVD foi resolvida.

Linha do Tempo do Incidente

2026-09-21

A DIVD relata o primeiro acesso malicioso aos seus sistemas.^[1]

2026-09-22

A DIVD detectou atividade suspeita, bloqueou o acesso aos sistemas do datacenter e iniciou resposta a incidentes com uma equipe forense externa.^[1]

2026-09-24

A DIVD diz que reportou a vulnerabilidade ao Zammad.^[2]

2026-09-29

A DIVD publicou o caso do incidente e descreveu as vulnerabilidades do Zammad.^{[1], [2]}

2026-09-30

As CVEs-2026-102489 e 102490 foram publicadas; a DIVD descreveu a cadeia entre elas.^{[2], [8], [6], [7]}

2026-10-02

Segundo o NVD, a CVE-2026-102489 foi adicionada ao CISA KEV.^[5]

2026-10-05

O Zammad publicou sua avaliação: a CVE-2026-102489 não é explorável na prática no 7.0+ sob as condições do runtime; a CVE-2026-102490 é local e ainda estava em análise.^{[3], [6], [7]}

2026-10-06

O Zammad lançou a versão 7.2.1 com correções críticas. A página não associa nenhuma das duas CVEs a essa versão; não presuma que ela resolva a CVE-2026-102490.^[4]

2026-10-07

A versão 7.2.1 do Zammad inclui um link para o aviso separado GHSA-23hj-h8w6-rgm3, sobre exposição de identificador de sessão corrigida na 7.2.1. O aviso não lista um CVE; as fontes disponíveis não o vinculam à CVE-2026-102489 nem à CVE-2026-102490. Mantenha os problemas separados.^{[4], [9]}

2026-10-08

O Zammad lançou o 7.2.2 e vinculou o GHSA-p97w-927q-8vxq ao problema de elevação local de privilégios apenas em pacotes DEB/RPM associado à CVE-2026-102490. O registro atual da DIVD também indica o 7.2.2 como limite corrigido; instalações a partir do código-fonte e contêineres oficiais estão excluídos.^{[10], [11], [12]}

Fluxo de Ataque Passo a Paso

Passo 1

O acesso inicial explorou um zero-day do Zammad

A DIVD relata que o invasor acessou seus sistemas em 21 de setembro de 2026 por meio de uma vulnerabilidade do Zammad. As fontes públicas não divulgam detalhes suficientes para reproduzir a requisição vulnerável com segurança ou precisão.^{[1], [2]}

Passo 2

A CVE-2026-102489 alcançou a conta de serviço

A DIVD descreve sequestro de sessão que leva à execução remota de código como o usuário zammad. Ela lista 6.3.0–6.5.4 como afetadas e 7.0.0–7.1.3 como contendo a falha, mas sem exploração nas condições de ambiente relatadas. O Zammad diz que a exploração é prática apenas até a 6.5; o hardening adicional está na 7.2.0.^{[2], [3], [6], [5]}

Passo 3

Uma segunda falha mudou o limite de impacto

A DIVD diz que, neste incidente, a CVE-2026-102490 permitiu ao usuário local zammad chegar a root após a foothold inicial obtida pela CVE-2026-102489. O registro atual da CVE pela DIVD e o aviso Zammad/mantenedor de 8 de outubro limitam a elevação a instalações de pacotes DEB/RPM; instalações a partir do código-fonte e contêineres oficiais estão excluídos. O Zammad 7.2.2 corrige esse problema nos pacotes. Não generalize a condição específica dos pacotes para toda implantação Zammad.^{[8], [10], [2], [7], [12], [3], [11]}

Passo 4

Agentes de IA foram usados depois do acesso root

A DIVD afirma que, depois de o invasor chegar a root, ele usou agentes de IA em atividades posteriores. Isso descreve o que ocorreu após a elevação de privilégios; não é o mecanismo que concedeu root. A declaração da DIVD não comprova que um modelo de IA tenha escolhido ou executado cada ação de forma independente.^[1]

Passo 5

Corrija por CVE e verifique a evidência

Corrija cada etapa da cadeia conforme a CVE e o tipo de implantação. Para a CVE-2026-102489, siga as condições de versão/runtime do Zammad e o aviso de hardening adicional no 7.2.0. Para a CVE-2026-102490, verifique a origem do pacote: o aviso atual cobre instalações DEB/RPM e indica o 7.2.2 como corrigido; instalações a partir do código-fonte e contêineres oficiais estão excluídos desse problema de empacotamento. Verifique a versão instalada. Preserve o vetor conflitante do GHSA antigo como divergência entre fontes, não como conclusão de alcance.^{[10], [4], [12], [3], [11], [9]}

Por que não há um par de código

O comunicado público citado documenta o escopo dos pacotes e a versão corrigida, mas não inclui linhas de código nem patch específicos da CVE. Um exemplo sugeriria detalhes de implementação que a fonte não mostra. Para pacotes DEB/RPM afetados, confirme a atualização suportada para 7.2.2 ou posterior e verifique a versão instalada.^[11]

Lista de Verificação de Segurança para Engenharia

✓Inventarie edição, versão, runtime e exposição exatos do Zammad; compare cada CVE com suas próprias condições do fornecedor e da DIVD.^{[2], [3], [5], [6], [7]}
✓Para a CVE-2026-102490, identifique como o Zammad foi instalado. Atualize instalações com pacotes DEB/RPM para 7.2.2 ou posterior; o aviso do Zammad exclui instalações a partir do código-fonte e imagens oficiais de contêiner desse problema específico de empacotamento.^{[10], [4], [12], [3], [11]}
✓Acompanhe separadamente a correção específica de pacote da CVE-2026-102490 e os metadados anteriores do GHSA-HGFF; registre o tipo de instalação e a versão corrigida, sem tratar o vetor de rede antigo como prova de exploração remota isolada.^{[7], [4], [12], [3], [11]}
✓Restrinja o acesso ao host Zammad a administradores confiáveis; isole a conta de serviço e remova caminhos desnecessários de elevação de privilégios.^{[2], [3]}
✓Segmente o help desk de sistemas de identidade, CI e dados sensíveis; limite o acesso de rede da conta de serviço aos destinos necessários.^[1]
✓Após suspeita de invasão, preserve logs e imagens forenses, invalide sessões, troque credenciais expostas e revise o acesso a serviços conectados.^[1]
✓Mantenha estados separados para “afetada”, “não explorável no runtime declarado”, “corrigida pelo fornecedor” e “correção implantada”; não os reduza a um único estado.^{[3], [4], [8]}