Zammad Zero-Days CVE-2026-102489: KI-Agent hackt die Meldestelle DIVD

Die niederländische Meldestelle DIVD ist selbst Opfer eines Angriffs geworden – und der Einbruchsweg führte über zwei bis dahin unbekannte Lücken in der Ticketsoftware Zammad. Die Zammad Zero-Days CVE-2026-102489 und CVE-2026-102490 wurden laut DIVD am 21. September 2026 kombiniert ausgenutzt. Auffällig ist nicht nur die Technik, sondern das Tempo: Das Institut ordnet den Ablauf einem agentisch arbeitenden KI-Angreifer zu.

Was bei den Zammad Zero-Days technisch passiert ist

Die erste Lücke, CVE-2026-102489, erlaubt laut DIVD-Advisory einen Session-Hijack mit anschließender Codeausführung als Benutzer zammad – ohne vorherige Anmeldung. Betroffen sind die Versionen 6.3.0 bis 6.5.4. In den Versionen 7.0.0 bis 7.1.3 steckt der Fehler ebenfalls, ist dort aber nach Angaben der Forscher wegen der Umgebungsbedingungen nicht ausnutzbar.

Die zweite Lücke, CVE-2026-102490, hebt den lokalen Zammad-Benutzer auf root. Das Advisory nennt dafür den Bereich v1.5.0 bis v7.1.0-alpha; in der Zusammenfassung derselben Seite heißt es, alle Versionen einschließlich der jüngsten Alpha seien betroffen. Diese beiden Angaben sind nicht ganz deckungsgleich – wer die Lücke bewerten muss, sollte das wissen.

Bei der Einstufung lohnt ein zweiter Blick, denn die oft zitierte 9.4 gilt nicht für die Einzellücke. Auf der CVE-Seite der DIVD steht für CVE-2026-102489 ein CVSS-4.0-Basiswert von 8.7 (HIGH) im allgemeinen Szenario – und 9.4 (CRITICAL) ausdrücklich für das Szenario „verkettet mit CVE-2026-102490″. Der Unterschied steckt in der Wirkung auf nachgelagerte Systeme: einzeln „LOW“, verkettet „HIGH“. SecurityWeek führt pauschal 9.4 für beide Lücken. Praktisch heißt das: Die Kette ist das Problem, nicht die einzelne Zahl.

In Kombination ergibt das eine saubere Kette: fremde Sitzung übernehmen, Code ausführen, Rechte anheben. DIVD beschreibt, dass die Angreifer von der Zammad-Instanz auf weitere Dienste weitergesprungen sind und Daten abgezogen haben. Tiefer ins Netz kamen sie nicht – die Netzsegmentierung hielt.

Woran DIVD einen KI-Agenten erkennt

Die Zuordnung zu einem KI-Agenten stützt DIVD nicht auf ein Geständnis, sondern auf Spuren im eigenen Logmaterial: automatisiert anmutende, iterative Entscheidungen in sehr kurzer Zeit. Das Institut formuliert selbst vorsichtig und arbeitet weiter mit der Annahme „assume breach“, solange das Gegenteil nicht bewiesen ist. Diese Zurückhaltung ist bemerkenswert – und ehrlicher als manche Schlagzeile dazu. Den Vorfall selbst führt DIVD unter dem Fall DIVD-2026-00014 mit dem treffenden Titel „When, not if“.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Was das für dich bedeutet

Zammad ist in kleinen Betrieben, Agenturen und IT-Dienstleistungen beliebt, weil es Open Source ist und man es selbst hosten kann. Genau das ist hier der Punkt. Ein Ticketsystem ist aus Angreifersicht ein Volltreffer: Es steht meist am Internet, es sammelt Kundenkommunikation, Anhänge, oft genug auch Passwort-Zurücksetzungen und interne Hinweise auf die eigene Infrastruktur. Wer die Helpdesk-Instanz hat, hat Kontext für jeden nächsten Schritt.

Aus CISO-Sicht ist die eigentliche Lehre dieser Fall jedoch nicht „KI hackt jetzt“. Die Kette selbst – Session-Hijack, RCE, Rechteausweitung – ist klassisches Handwerk, das es seit Jahren gibt. Neu ist die Taktzahl. Ein Vorgehen, für das ein Mensch Stunden braucht, läuft automatisiert in Sekunden durch. Reaktionszeiten, die sich auf „jemand schaut morgen in die Logs“ verlassen, verlieren dadurch jeden Wert. Zwei Dinge halten einen solchen Angriff auf: Segmentierung und vorbereitete Erkennung. Bei DIVD verhinderte laut SecurityWeek-Bericht die Netzsegmentierung, dass die Angreifer tiefer in die Umgebung kamen.

Zweite Beobachtung, die in der Diskussion untergeht: Die Rechteausweitung CVE-2026-102490 betrifft laut Advisory praktisch jede Zammad-Version. Wer eine solche Anwendung ohne eigenen Dienstbenutzer, ohne Container-Trennung und ohne Begrenzung der ausgehenden Verbindungen betreibt, verschenkt die Stufe, auf der man so eine Kette normalerweise bricht.

Konkrete Handlungsempfehlung

• Auf Zammad 7 aktualisieren. Das ist die Empfehlung von DIVD. Geht das nicht sofort, soll die Instanz nach Angabe des Instituts offline gehen – ein Workaround ist im Advisory ausdrücklich mit „N/A“ vermerkt. Und ehrlich bleiben: Das Advisory führt den Patch-Status als „Available“, schreibt im Fließtext aber, Zammad arbeite noch an einem Fix. Das Upgrade ist Schadensbegrenzung gegen die ausnutzbare Kette, kein Schlussstrich.
• Logs auf Kompromittierung prüfen. DIVD stellt ein Prüfskript für die eigenen Indikatoren bereit. Das ist der schnellste Weg zur Antwort auf die einzig relevante Frage: Wurde ich schon erwischt?
• Sitzungen invalidieren. Nach einem Patch sind alte Sessions nicht automatisch sicher. Alle Sitzungen beenden, API-Tokens rotieren.
• Erreichbarkeit einschränken. Admin-Oberflächen gehören nicht offen ins Internet. Reverse Proxy, IP-Beschränkung oder VPN davor kosten einen Nachmittag.
• Ausgehende Verbindungen begrenzen. Ein Server, der nur erreichen darf, was er braucht, macht Nachladen und Datenabfluss deutlich teurer.

Wer seine Dienste ohnehin selbst betreibt, findet in meinem Ratgeber zu NAS und Heimserver für Selfhosting die Hardware-Seite dazu. Zum Thema automatisiert arbeitender Angreifer passt auch der Beitrag über KI-gesteuerte Malware, bei der vier Modelle abstimmen.

Einordnung zum Schluss

Dass es eine Organisation getroffen hat, die beruflich Schwachstellen meldet, ist kein Spott wert – sondern das ehrlichste verfügbare Argument gegen den Satz „bei uns passiert das nicht“. DIVD hat den Vorfall offengelegt, zwei CVEs erzeugt, Betreiber gewarnt und ein Prüfskript veröffentlicht. So sieht nützliche Transparenz aus. Richtig unangenehm wird es für alle, die jetzt feststellen, dass ihre Zammad-Instanz seit Monaten ungepatcht am Netz hängt.

Quellen

• DIVD CSIRT: DIVD-2026-00015 – Vulnerabilities in Zammad
• DIVD CSIRT: DIVD-2026-00014 – When, not if… DIVD got hacked through AI agents
• DIVD CSIRT: CVE-2026-102489 – CVSS-Szenarien und betroffene Versionen
• SecurityWeek: Zammad Zero-Days Exploited in AI-Powered DIVD Hack (1. Oktober 2026)