Wie zwei Zammad-Zero-Days das DIVD in Sekunden kompromittierten

Am 21. September 2026 wurde das Dutch Institute for Vulnerability Disclosure (DIVD), eine niederländische gemeinnützige Organisation für die Meldung von Sicherheitslücken, über seinen Zammad-Helpdesk angegriffen. Nach Angaben des DIVD spielte ein KI-Agent dabei eine Rolle. Verkettete Zero-Day-Schwachstellen ermöglichten zunächst die Übernahme einer Sitzung und die Ausführung von Code, danach den Sprung vom Zammad-Anwendungskonto zu Root-Rechten – laut Berichten innerhalb von Sekunden. Anschließend erreichten die Angreifer weitere Dienste und kopierten Daten. 3917

Die öffentlichen Berichte beschreiben die Folgen des Angriffs, nennen aber weder das eingesetzte KI-System noch dessen Betreiber. 3917

Wie die beiden Zammad-Lücken zusammenwirkten

Der Angriff nutzte zwei unterschiedliche Schwachstellen der Open-Source-Helpdesksoftware Zammad:

1. CVE-2026-102489 ermöglichte eine Sitzungsübernahme und die Ausführung von Code aus der Ferne mit den Rechten des lokalen Anwendungskontos zammad. 315
2. CVE-2026-102490 erlaubte einem lokalen Benutzer, seine Rechte bis auf Root-Ebene auszuweiten. Zusammengenommen führten die Lücken vom Zugriff auf den Helpdesk zur Kontrolle über dessen Host. 315
3. Von dort aus erreichten die Angreifer weitere Dienste und kopierten Daten. Die öffentlichen Angaben des DIVD bestätigen den Zugriff auf zusätzliche Dienste und die Datenexfiltration. Aus den vorliegenden Berichten geht jedoch nicht vollständig hervor, welche Systeme oder Daten betroffen waren. 113

Das DIVD bezeichnete den Vorfall als Angriff mit agentischer KI; Berichte beschrieben das Vorgehen als auffällig und chaotisch. Daraus lässt sich jedoch nicht ableiten, welches Modell oder welcher Anbieter beteiligt war, wie genau der Agent arbeitete oder wer ihn kontrollierte. 217

Was das DIVD zu Entdeckung und Reaktion mitteilte

Das DIVD erklärte, verdächtige Aktivitäten bemerkt, sie untersucht und schließlich den Einbruch festgestellt zu haben. In einer Mitteilung vom 24. September hieß es, der Zugriff auf die eigene Infrastruktur sei blockiert worden. Die Organisation habe den Incident-Response-Modus aktiviert und mit Unterstützung eines externen Teams eine forensische Untersuchung begonnen. 17

Am 30. September machte das DIVD bekannt, dass die Zammad-Schwachstellen den ersten Zugang ermöglicht hatten, und veröffentlichte die CVE-Kennungen. Die Untersuchung lief zu diesem Zeitpunkt weiter. Welche konkrete Warnung den Vorfall zuerst sichtbar machte und welche einzelnen Schritte bei Eindämmung und Forensik erfolgten, ist in den verfügbaren Berichten nicht genau aufgeschlüsselt. 41516

Was Zammad-Administratoren jetzt prüfen sollten

Installierte Version mit dem DIVD-Fallhinweis abgleichen. Für CVE-2026-102489 führt das DIVD die Versionen 6.3.0 bis 6.5.4 als verwundbar auf. Auch Versionen von 7.0.0 bis 7.1.3 enthalten laut Hinweis die Schwachstelle; unter den dort beschriebenen Umgebungsbedingungen sei sie in diesen Releases jedoch nicht ausnutzbar. Für CVE-2026-102490 nennt das DIVD den Bereich von Version 1.5.0 bis 7.1.0-alpha. Die Angabe „Wir nutzen Version 7“ reicht also nicht aus, um Betroffenheit auszuschließen. 15

Updates oder Abhilfemaßnahmen anhand des aktuellen DIVD-Hinweises auswählen. Im Fallhinweis ist der Patchstatus als verfügbar angegeben und ein Upgrade auf Zammad Version 7 empfohlen. Die Angaben zu den betroffenen Versionen unterscheiden sich jedoch je nach Schwachstelle. Prüfen Sie deshalb den konkreten Release-Stand und beide CVEs, statt ein Major-Upgrade allein als Bestätigung zu werten, dass alle Probleme behoben sind. 15

Auch auf Anzeichen eines bereits erfolgten Einbruchs untersuchen. Prüfen Sie verfügbare Zammad-, Authentifizierungs-, Webserver- und Host-Protokolle auf unerwartete Sitzungen, Codeausführung unter dem Konto zammad, Rechteausweitung, Verbindungen zu weiteren Diensten oder ungewöhnliche Datenübertragungen. Diese Prüfungen orientieren sich an der beschriebenen Angriffskette; eine vollständige Liste forensischer Indikatoren enthalten die Quellen nicht. 1315

Gibt es Hinweise auf Root-Zugriff, sollten Sie den Host und die dort erreichbaren Zugangsdaten als potenziell kompromittiert behandeln. Sichern Sie relevante Protokolle und untersuchen Sie das System, bevor Sie es wieder in Betrieb nehmen. Ein installiertes Update allein belegt nicht, dass ein früherer Einbruch eingedämmt wurde.