DIVDがZammadのゼロデイ脆弱性を悪用したAI駆動型ネットワーク侵害を公表

オランダの脆弱性開示機関DIVDは、AIエージェントが自律的に行動したことにより、Zammadのオープンソースチケットングシステムに存在する2つのゼロデイ脆弱性を悪用したネットワーク侵害が発生したと発表した。この攻撃は、CVE-2026-102489およびCVE-2026-102490という脆弱性を通じて、セッションの乗っ取り、リモートコード実行、root権限への昇格を可能にした。

AIエージェントは数秒間にわたり自動的に攻撃を継続し、DIVDのシステムからデータを抽出した。DIVDは、脆弱性がネットワーク分断によりさらに拡大しなかったものの、調査は継続中であると指摘している。同機関は、Zammadユーザーに対し、バージョン7へのアップグレードまたは直ちにインスタンスのオフライン化を推奨している。

DIVDは明日の更新でさらに詳細を公表する予定である。