DIVD säger att två nolldagarsluckor i Zammad möjliggjorde ett AI-drivet nätverksintrång

Nederländska institutet för sårbarhetsrapportering (DIVD) säger att angripare tog sig in i dess nätverk genom att utnyttja två nolldagarsluckor i det öppna ärendehanteringssystemet Zammad. Den ideella organisationen uppger att en AI-agent genomförde attacken självständigt och valde sina nästa steg utan extern styrning.

Enligt DIVD gjorde sårbarheterna, som identifierats som CVE-2026-102489 och CVE-2026-102490, det möjligt att kapa sessioner, köra kod på distans och höja behörigheten från Zammad-användaren till root. Efter att ha utnyttjat dem fick angriparen åtkomst till andra tjänster och läste ut och förde bort data från DIVD:s system på några sekunder, med hjälp av AI-automatisering.

DIVD säger att nätverkssegmentering och incidenthantering hindrade angriparen från att ta sig längre in i nätverket. Utredningen pågår. Organisationen återskapade händelseförloppet med hjälp av förklaringar som AI-agenten lämnat om sina beslut.

DIVD upptäckte sårbarheterna tillsammans med Merlon Security och underrättade Zammad. Organisationen varnar också andra användare med sårbara installationer. DIVD rekommenderar att uppgradera till version 7, som organisationen bedömer som säker, eller att koppla från installationen så snart som möjligt.

Zammad är en öppen plattform för helpdesk och supportärenden. Företaget uppger att tjänsten har fler än 2 000 kunder och 55 000 användare. DIVD säger att organisationen planerar att dela fler uppdateringar om incidenten i morgon.