Zammad-Nutzer sollten umgehend auf Version 7 aktualisieren.
▸▾Herleitung der Bewertung(4)
Wie der Wert zustande kommt
- Im CISA-KEV-Katalog: CVE-2026-102489, CVE-2026-102490+25
- Hoechster CVSS-Basiswert 9.8+18
- Wird laut Meldung tatsaechlich ausgenutzt: "exploited" im Titel+12
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-102489, CVSS-Vektor AV:N/PR:N)+10
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Zammad Zero-Days Exploited in AI-Powered DIVD Hack
Das Dutch Institute for Vulnerability Disclosure (DIVD) wurde Opfer eines KI-gesteuerten Angriffs, der zwei Zero-Day-Schwachstellen in der Ticketing-Lösung Zammad ausnutzte. Betroffen sind Zammad-Versionen 6.3.0 bis 6.5.4, wobei Angreifer Fernzugriff und Privilegienerhöhung erlangen konnten. Zammad-Nutzer sollten dringend auf Version 7 aktualisieren oder ihre Instanzen offline nehmen und nach Kompromittierungsindikatoren suchen.
SecBoard-Einordnung
Die Ausnutzung von Zero-Day-Schwachstellen ermöglichte Angreifern Fernzugriff, Sitzungsübernahme und Privilegienerhöhung, was zu Datenexfiltration führen kann. Dies stellt ein erhebliches Risiko für die Vertraulichkeit und Integrität sensibler Informationen dar, die in Ticketing-Systemen gespeichert sind.
Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer vollständige Kontrolle über die Zammad-Instanz erlangen, sensible Kundendaten exfiltrieren und weitere Systeme innerhalb der Organisation kompromittieren.
Empfehlung: Zammad-Nutzer sollten umgehend auf Version 7 aktualisieren. Falls ein sofortiges Update nicht möglich ist, sollten betroffene Instanzen offline genommen und auf Kompromittierungsindikatoren (IoCs) untersucht werden.
Key Facts
- CVSS
- 9.8 · CRITICAL
- EPSS
- 1.3%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2026-10-02
- Patch
- unbekannt
- Zuweisende CNA
- csirt@divd.nl
- CVSS
- 7.8 · HIGH
- EPSS
- 0.5%
- Über das Netz
- nein
- Anmeldung nötig
- ja
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- im KEV seit
- 2026-10-02
- Patch
- unbekannt
- Zuweisende CNA
- csirt@divd.nl
Betroffen
Alle Nutzer der Zammad-Versionen 6.3.0 bis 6.5.4 sind betroffen. Insbesondere Organisationen, die Zammad als webbasierte Ticketing-Lösung einsetzen, sind gefährdet.
Hersteller
Produkte
▸ CPE-Rohbezeichner anzeigen▾ CPE-Rohbezeichner ausblenden (1)
- cpe:2.3:a:zammad:zammad:*:*:*:*:*:*:*:*
Prüfen
3- ▸Überprüfen Sie die installierte Zammad-Version und stellen Sie sicher, dass diese auf Version 7 aktualisiert wurde.
- ▸Suchen Sie in Ihren Zammad-Instanzen und zugehörigen Systemen nach ungewöhnlichen Anmeldeversuchen, unbekannten Sitzungen oder Anzeichen von Datenexfiltration.
▸ 1 weitere▾ weniger
- ▸Überprüfen Sie die Zugriffslogs Ihrer Zammad-Instanzen auf verdächtige Aktivitäten oder unautorisierte Privilegienerhöhungen.
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Spezifische Details zu den ausgenutzten Zero-Day-Schwachstellen sind nicht angegeben.
- ▸Die genaue Art der exfiltrierten Daten ist nicht spezifiziert.
- ▸Die Identität der Angreifer oder ihre Motivation ist nicht angegeben.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Ja
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Sind wir hiervon betroffen — und können wir es detektieren?
MITRE ATT&CK(5)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„führte zur Datenexfiltration“
„ermöglichte Fernzugriff“
„Privilegienerhöhung erlangen konnten“
„exploitierte zwei Zero-Day-Schwachstellen in der Ticketing-Lösung Zammad“
„führte zur Datenexfiltration“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile