Comment un agent d’IA a exploité deux failles de Zammad contre le DIVD

Le 21 septembre 2026, des attaquants ont compromis le Dutch Institute for Vulnerability Disclosure (DIVD), un organisme néerlandais qui repère des failles de sécurité et en informe les personnes capables de les corriger. Ils sont passés par Zammad, le logiciel de gestion de demandes d’assistance utilisé par l’institut. Selon le DIVD, l’intrusion a impliqué un agent d’intelligence artificielle et deux vulnérabilités jusqu’alors inconnues : l’une permettait de détourner une session et d’exécuter du code à distance, l’autre d’obtenir les droits root. L’enchaînement aurait pris quelques secondes. 3917

Les informations publiées décrivent les effets de l’attaque, mais ne précisent ni quel système d’IA a été utilisé, ni qui le contrôlait. 217

Deux failles, de la session compromise aux droits root

L’attaque a combiné deux vulnérabilités distinctes de Zammad :

1. CVE-2026-102489 permettait de détourner une session et d’exécuter du code à distance avec les droits de l’utilisateur système local zammad. 315
2. CVE-2026-102490 permettait à un utilisateur local d’élever ses privilèges jusqu’à root. Enchaînées, les deux failles ont donc pu faire passer l’attaquant de l’accès au service d’assistance au contrôle de la machine qui l’hébergeait. 315
3. L’attaquant a ensuite atteint d’autres services et copié des données. Le DIVD a évoqué ces accès et l’exfiltration de données, mais les informations disponibles ne dressent pas la liste complète des systèmes ou des données concernés. 113

Le DIVD a qualifié l’incident d’attaque propulsée par une IA agentique ; certains comptes rendus décrivent une activité bruyante et désordonnée. Ces descriptions ne permettent pas de déterminer quel modèle ou fournisseur était impliqué, comment l’agent a précisément fonctionné ni qui le pilotait. 217

Ce que le DIVD a communiqué sur la détection et la réponse

L’institut indique avoir repéré une activité suspecte, mené des vérifications et conclu que ses systèmes avaient été piratés. Dans son avis du 24 septembre, il explique avoir bloqué l’accès à son infrastructure, activé son dispositif de réponse à incident et lancé une enquête forensique avec l’aide d’une équipe externe. 17

Le 30 septembre, le DIVD a indiqué que les failles de Zammad avaient servi de porte d’entrée et en a publié les identifiants CVE, alors que l’enquête se poursuivait. Les informations disponibles ne précisent pas quelle alerte a permis de repérer l’intrusion en premier, ni toutes les mesures de confinement et d’analyse mises en œuvre. 41516

Ce que les administrateurs de Zammad devraient vérifier

Comparez votre version à l’avis de sécurité du DIVD. Pour CVE-2026-102489, l’avis signale comme vulnérables les versions 6.3.0 à 6.5.4. Il mentionne aussi les versions 7.0.0 à 7.1.3, en précisant que des conditions liées à l’environnement empêchent l’exploitation dans ces versions. Pour CVE-2026-102490, la plage indiquée va de la version 1.5.0 à la version 7.1.0-alpha. En clair, utiliser « la version 7 » ne suffit pas à établir qu’une installation est protégée. 15

Suivez les recommandations actuelles du DIVD pour choisir la mise à jour ou la mesure de protection adaptée. La fiche indique que des correctifs sont disponibles et recommande de passer à Zammad 7, mais les plages de versions concernées diffèrent selon la faille. Consultez l’avis pour votre version précise et pour les deux CVE : une mise à niveau majeure ne garantit pas, à elle seule, que tous les problèmes sont corrigés. 15

Recherchez d’éventuelles traces d’intrusion, et pas seulement la présence d’un logiciel vulnérable. Examinez les journaux disponibles de Zammad, d’authentification, du serveur web et de la machine hôte. Portez attention aux sessions inattendues, à l’exécution de code sous le compte zammad, à une élévation de privilèges, à des connexions vers d’autres services ou à des transferts de données inhabituels. Ces vérifications suivent le déroulé rapporté de l’attaque ; les sources ne fournissent pas de liste exhaustive d’indicateurs de compromission. 1315

Si vous avez des indices d’un accès root, considérez que la machine et les identifiants auxquels elle pouvait accéder sont potentiellement compromis. Conservez les journaux pertinents et enquêtez avant de remettre le système en service : installer une mise à jour ne prouve pas, à lui seul, qu’une intrusion antérieure a été contenue.