Cybersecurite
Deux failles zero-day de Zammad frappent le DIVD
L'institut DIVD a subi le 21 septembre 2026 une attaque automatisée par agent d'intelligence artificielle, combinant deux failles inédites du logiciel de support Zammad. L'organisation conseille de migrer immédiatement vers la branche 7 ou d'isoler les serveurs.
Par Mila · rédaction IA
Le Dutch Institute for Vulnerability Disclosure a révélé le 30 septembre 2026 que son infrastructure a été pénétrée le 21 septembre 2026 via deux vulnérabilités zero-day affectant le gestionnaire de tickets open source Zammad.
L'incident prouve qu'un assaut mené par un agent d'intelligence artificielle peut enchaîner une prise de contrôle à distance et une élévation de privilèges en quelques secondes. Les organisations exploitant une instance exposée de ce logiciel doivent actualiser leur version sans délai sous peine d'un compromis total de leur machine.
Deux failles zero-day touchent le logiciel Zammad
Le Dutch Institute for Vulnerability Disclosure a identifié deux failles critiques inconnues au sein de Zammad, une solution web et open source de gestion d'assistance technique et de tickets d'utilisateurs. L'organisation de recherche en cybersécurité a documenté ces faiblesses sous les références CVE-2026-102489 et CVE-2026-102490 à l'issue de l'analyse menée entre le 22 et le 23 septembre 2026 avec les analystes de Merlon Security. La première permet à un tiers sans authentification d'exécuter du code arbitraire et de dérober des sessions, tandis que la seconde permet à un utilisateur local d'élever ses privilèges jusqu'au compte racine. Pour les gestionnaires de parcs informatiques, l'exposition publique de ce serveur offre une porte d'entrée directe aux attaquants.
Un agent autonome enchaine les failles en secondes
L'attaque détectée le 21 septembre 2026 s'est déroulée de manière entièrement automatisée grâce à un agent d'intelligence artificielle, d'après les observations publiées par SecurityWeek. Les assaillants ont exploité CVE-2026-102489 pour intercepter des sessions actives et exécuter du code à distance sous le profil de service, puis ont activé CVE-2026-102490 afin d'obtenir immédiatement les droits root. L'automatisation a réduit cette séquence complexe à un intervalle de quelques secondes. Les attaquants ont ensuite tenté de pivoter vers d'autres services internes et ont exfiltré des données, mais la segmentation réseau mise en place a contenu l'intrusion avant qu'ils ne pénètrent plus profondément dans le réseau. Ce mécanisme montre que la rapidité de riposte des équipes humaines ne suffit plus face à un assaut automatisé si l'infrastructure sous-jacente n'est pas strictement compartimentée.
Les versions anterieures a la branche 7 sont exposees
Les vulnérabilités ciblent précisément les installations de Zammad comprises entre les versions 6.3.0 et 6.5.4 pour l'exécution de code à distance, alors que l'élévation de privilèges locaux concerne l'ensemble des moutures depuis la v1.5.0 jusqu'à la v7.1.0-alpha. Même si les versions 7.0.0 à 7.1.3 intègrent le défaut technique de session, les conditions d'exécution de leur environnement empêchent son exploitation pratique. Cette alerte ne concerne pas les équipes qui n'hébergent pas ce logiciel de support ou qui l'ont placé derrière un réseau privé sans accès direct depuis Internet. Les administrateurs doivent télécharger le script de vérification fourni par le centre d'alerte pour vérifier l'absence d'indicateurs de compromission dans leurs journaux avant de valider la sûreté de leur serveur.
Migrer vers la version 7 ou couper l'acces
Le maintien en production d'une instance Zammad exige une mise à niveau immédiate vers la version 7 ou une déconnexion pure et simple d'Internet. L'équipe d'intervention néerlandaise a lancé des analyses globales du réseau public pour repérer les déploiements vulnérables et avertit individuellement les propriétaires identifiés. L'absence de correctif appliqué sur une machine exposée garantit une compromission totale par des acteurs malveillants réutilisant la méthode automatisée observée fin septembre 2026. L'inspection des journaux système reste la seule façon de s'assurer qu'aucun vol de session n'a précédé l'opération de maintenance, car les signaux faibles d'une exfiltration rapide peuvent passer inaperçus sans contrôle approfondi.
- 9.4 Le score CVSS attribué à chacune des deux vulnérabilités zero-day CVE-2026-102489 et CVE-2026-102490 SecurityWeek 2026-10-01
Nous conseillons à tous les utilisateurs de Zammad de passer à la version 7 de Zammad ou de la mettre hors ligne.
Le passage à la version 7 neutralise l'exploitabilité de l'exécution de code à distance grâce aux conditions de son environnement d'exécution, mais le défaut sous-jacent subsiste dans le code des moutures 7.0.0 à 7.1.3 en attendant le correctif définitif préparé par l'éditeur.
Pour un professionnel ou une petite structure qui gère en autonomie son propre serveur Zammad, l'action est impérative aujourd'hui: il faut bloquer l'accès public ou appliquer la migration vers la version 7 en moins de deux heures, puis exécuter le script d'audit du DIVD sur les fichiers de logs.
Comment savoir si mon instance Zammad a été ciblée par l'attaque ?
Le DIVD met à disposition un script de vérification officiel qui analyse directement vos fichiers de journalisation à la recherche des indicateurs d'intrusion liés aux failles.
La version 7 de Zammad est-elle totalement indemne ?
La version 7 contient encore l'anomalie de code, mais les paramètres de son environnement rendent son exploitation impossible à distance selon le rapport technique du DIVD.
Que faire si la migration vers la version 7 n'est pas réalisable immédiatement ?
La recommandation officielle du centre d'intervention est de couper immédiatement l'instance du réseau public et de la maintenir hors ligne jusqu'à l'application de la mise à jour.
- Une cyberattaque pilotée par une intelligence artificielle a piraté l'institut DIVD le 21 septembre 2026.
- Deux vulnérabilités notées 9.4 sur Zammad permettent une prise de contrôle root en quelques secondes.
- La mise à jour vers Zammad version 7 ou l'isolation hors ligne constitue la seule parade immédiate.