Deux failles de Zammad ont permis de prendre le contrôle du serveur du DIVD

Le Dutch Institute for Vulnerability Disclosure (DIVD), un organisme néerlandais spécialisé dans la divulgation de vulnérabilités, affirme qu’un attaquant s’est introduit dans ses systèmes en exploitant deux failles jusque-là inconnues de son service d’assistance Zammad. En quelques secondes, l’attaque est passée du détournement d’une session à l’exécution de code, puis à l’obtention des droits root sur le serveur.57

Le DIVD estime que le mode opératoire suggère une attaque menée avec un agent d’intelligence artificielle. Les informations rendues publiques ne permettent toutefois pas d’identifier l’attaquant ou l’agent utilisé, ni de savoir dans quelle mesure une personne supervisait ses actions.57

Une chaîne d’attaque en deux étapes

La première faille, CVE-2026-102489, permettait de détourner une session et d’exécuter du code à distance avec les droits de l’utilisateur local zammad. La seconde, CVE-2026-102490, permettait à cet utilisateur d’élever ses privilèges jusqu’au niveau root sur le serveur hébergeant le service d’assistance. Selon le DIVD, l’attaquant a ensuite pu accéder à d’autres services et exfiltrer des données.518

L’intrusion initiale a eu lieu le 21 septembre 2026. Le DIVD a détecté une activité suspecte le lendemain, bloqué l’accès à l’infrastructure de son centre de données et lancé une enquête forensique avec la société spécialisée en réponse aux incidents Merlon Security. L’organisation a reconnu publiquement la brèche le 24 septembre, puis publié des informations distinctes sur l’incident et les vulnérabilités.71017

Données exposées : ce que l’on sait

Le DIVD a indiqué que des adresses e-mail appartenant à ses chercheurs bénévoles en sécurité avaient été exposées. Des articles évoquent aussi la possibilité que d’autres coordonnées aient été concernées, mais les éléments publics ne permettent pas de déterminer précisément quelles données ont été dérobées ni de confirmer que tous les systèmes du DIVD ont été compromis.58

Le terme « agentique » décrit l’évaluation du DIVD sur le comportement de l’attaque. Il ne prouve pas que celle-ci s’est déroulée sans intervention humaine : rien de public ne permet de savoir si une personne validait chaque action ou si elle avait simplement fixé un objectif à l’agent.57

Que faire si vous utilisez Zammad ?

Conserver les journaux avant de mettre à jour

Copiez les journaux de l’application et du réseau avant d’installer une mise à jour, comme le recommande un article consacré à l’incident. Examinez les événements depuis le 21 septembre : sessions inhabituelles, actions inattendues du compte zammad, élévations de privilèges et transferts de données sortants suspects. Il s’agit de pistes d’enquête, pas d’une liste complète d’indicateurs de compromission publiée par le DIVD. Une mise à jour ne permet pas, à elle seule, de savoir si le système a été visité auparavant.15

Vérifier les deux failles et la version exacte

Selon le DIVD, le chemin d’attaque par détournement de session et exécution de code concerne les versions 6.3.0 à 6.5.4. Le code vulnérable est également présent dans les versions 7.0.0 à 7.1.3, mais le DIVD indique qu’il n’y était pas exploitable dans les conditions d’environnement évaluées.18

Ne partez pas du principe qu’une mise à niveau vers la version 7 règle toute la chaîne. CVE-2026-102490 est une faille distincte d’élévation locale de privilèges, qui permet à l’utilisateur zammad d’obtenir les droits root ; des informations publiées sur l’incident indiquent qu’une mise à niveau vers la version 7 ne la corrige pas à elle seule.1 Consultez les avis les plus récents de Zammad et du DIVD pour connaître les mesures correctives précises pour chacune des failles. Si une instance exposée ne peut pas être sécurisée rapidement, mettez-la hors ligne pendant l’enquête et la remédiation.118

Si vous détectez des signes d’accès root, considérez l’hôte comme compromis et étendez l’enquête au-delà de l’application d’assistance. Le DIVD indique que l’attaquant a pu accéder à d’autres services ; les informations publiques ne donnent toutefois ni la liste complète des indicateurs de compromission ni l’ampleur totale de l’exfiltration.51