Yapay zekâ ajanı Zammad'daki iki açıkla DIVD'yi saniyeler içinde ele geçirdi

Hollanda’daki gönüllü güvenlik açığı bildirim kuruluşu DIVD (Dutch Institute for Vulnerability Disclosure), 21 Eylül’de kendi sistemlerine yapılan saldırının ayrıntılarını paylaştı. Saldırgan, açık kaynaklı müşteri destek yazılımı Zammad’daki daha önce bilinmeyen iki açığı zincirleyerek sunucuda root yetkisine ulaştı. DIVD’ye göre saldırıyı bir yapay zekâ ajanının yürütmesi, bütün zincirin saniyeler içinde tamamlanmasını sağladı.

İlk açık, CVE-2026-102489, oturum ele geçirmeye dayanıyor ve saldırganın sunucuda Zammad’ın çalıştığı kullanıcı yetkisiyle kod çalıştırmasına izin veriyor. İkinci açık, CVE-2026-102490, bu kullanıcının sunucuda root olmasını sağlıyor. DIVD açıkları 24 Eylül’de Zammad’a bildirdi, 26 Eylül’de de internetteki savunmasız kurulumları taramaya ve sahiplerini uyarmaya başladı.

Zammad, kurumların müşteri taleplerini ve destek yazışmalarını yönettiği bir yardım masası yazılımı, bu yüzden içinde genellikle müşteri yazışmaları ve kişisel veriler bulunuyor. Açıkların etkilediği sürümler şöyle:

• CVE-2026-102489: 6.3.0 ile 6.5.4 arasındaki sürümlerde istismar edilebiliyor. 7.0.0 ile 7.1.3 arasında da bulunuyor, ancak DIVD’ye göre ortam koşulları nedeniyle orada istismar edilemiyor.
• CVE-2026-102490: DEB ve RPM paketiyle kurulan bütün Zammad sürümlerinde vardı, 8 Ekim’de 7.2.2 ile kapatıldı.

DIVD, Zammad kullananlara 7. sürüme geçmelerini, bu hemen mümkün değilse kurulumu çevrim dışına almalarını öneriyor. Kuruluş, kayıtlarda istismar izi aramak için bir kontrol betiği de yayımladı. Olay, açıklarla uğraşmayı iş edinmiş bir kuruluşun bile hedef olabildiğini ve yapay zekâ ajanlarının bilinen saldırı adımlarını ne kadar hızlandırabildiğini gösteriyor.