Wie zwei Zammad-Sicherheitslücken zum Root-Zugriff auf DIVD-Systeme führten

Nach Angaben des Dutch Institute for Vulnerability Disclosure (DIVD) drang ein Angreifer über zwei bis dahin unbekannte Schwachstellen in dessen Zammad-Helpdesk ein. Innerhalb von Sekunden führte der Angriff vom Übernehmen einer Sitzung über die Ausführung von Code bis zu Root-Rechten. DIVD hält das Vorgehen für ein Indiz für einen Angriff mit einem KI-Agenten. Die öffentlich verfügbaren Informationen belegen jedoch weder, wer den Angreifer kontrollierte, noch wie eng ein Mensch den Ablauf überwachte.57

So lief der Angriff ab

Die erste Schwachstelle, CVE-2026-102489, ermöglichte das Übernehmen einer Sitzung und die Ausführung von Code aus der Ferne mit den Rechten des lokalen Benutzers zammad. Die zweite Lücke, CVE-2026-102490, erlaubte diesem Benutzer, seine Rechte auf dem Helpdesk-Host bis zu Root-Rechten auszuweiten. Laut DIVD konnte der Angreifer anschließend auf weitere Dienste zugreifen und Daten abziehen.518

Die von DIVD veröffentlichte Zeitleiste beginnt am 21. September 2026 mit dem ersten Eindringen. Am nächsten Tag bemerkte die Organisation verdächtige Aktivitäten, sperrte den Zugriff auf ihre Rechenzentrumsinfrastruktur und begann gemeinsam mit dem auf Incident Response spezialisierten Unternehmen Merlon Security mit der forensischen Untersuchung. Am 24. September machte DIVD den Angriff öffentlich; später veröffentlichte es getrennte Fallbeschreibungen zum Vorfall und zu den Schwachstellen.71017

Welche Daten betroffen waren – und was noch offen ist

DIVD berichtete, dass E-Mail-Adressen freiwilliger Sicherheitsforscherinnen und -forscher offengelegt wurden. In der öffentlichen Berichterstattung ist auch von möglicherweise weiteren Kontaktdaten die Rede. Wie viele und welche Daten genau abgezogen wurden, ist anhand der verfügbaren Informationen jedoch nicht geklärt. Ebenso ist nicht bestätigt, dass sämtliche DIVD-Systeme kompromittiert wurden.58

Die Bezeichnung „agentisch“ gibt DIVDs Einschätzung des beobachteten Angriffsmusters wieder. Öffentlich bekannt ist weder, wer hinter dem Angriff stand, noch welcher KI-Agent oder Dienst eingesetzt wurde. Auch ist unklar, ob ein Mensch einzelne Aktionen freigab oder dem Agenten lediglich ein Ziel vorgab. Der Begriff ist deshalb kein Beleg dafür, dass der Angriff ohne menschliche Beteiligung ablief.57

Was Zammad-Admins jetzt tun sollten

Protokolle sichern, bevor Updates installiert werden

Sichert Anwendungs- und Netzwerkprotokolle, bevor ihr Updates einspielt – dazu rät auch die Berichterstattung zum Vorfall. Prüft anschließend Aktivitäten ab dem 21. September auf ungewöhnliche Sitzungen, unerwartete Aktionen des Kontos zammad, Rechteausweitungen und verdächtige ausgehende Datenübertragungen. Das sind Ansatzpunkte für die Untersuchung, keine vollständige, veröffentlichte Liste von Kompromittierungsindikatoren. Ein Update allein beweist nicht, dass ein System zuvor unangetastet blieb.15

Beide Schwachstellen und die genaue Version prüfen

DIVD nennt Zammad 6.3.0 bis 6.5.4 als anfällig für den Pfad über Sitzungsübernahme und Codeausführung. Derselbe fehlerhafte Code ist laut DIVD auch in Version 7.0.0 bis 7.1.3 vorhanden, ließ sich dort unter den untersuchten Umgebungsbedingungen aber nicht ausnutzen.18

Geht nicht davon aus, dass ein Upgrade auf Version 7 automatisch die gesamte Angriffskette schließt. CVE-2026-102490 ist eine separate lokale Schwachstelle zur Rechteausweitung für den Benutzer zammad; laut Berichterstattung behebt ein Upgrade auf Version 7 diese Lücke nicht von selbst. Prüft in den aktuellen Hinweisen von Zammad und DIVD den konkreten Behebungsstatus beider Probleme. Lässt sich eine exponierte Instanz nicht zeitnah absichern, nehmt sie während der Untersuchung und Behebung vom Netz.118

Gibt es Hinweise auf Root-Zugriff, sollte der Host als kompromittiert gelten – und die Untersuchung darf sich nicht auf die Helpdesk-Anwendung beschränken. Laut DIVDs Fallbeschreibung konnte der Angreifer weitere Dienste erreichen. Die veröffentlichten Berichte enthalten jedoch weder eine vollständige Liste von Kompromittierungsindikatoren noch eine abschließende Einschätzung des Umfangs der abgeflossenen Daten.51