Un agent IA a exploité deux failles inconnues du logiciel de tickets Zammad pour pénétrer le réseau de l'organisation néerlandaise DIVD

Le 30 septembre, BleepingComputer a rapporté que le DIVD, une association néerlandaise de chercheurs en sécurité qui prévient les organisations de leurs failles, a elle-même été piratée le 21 septembre par un agent d’IA autonome. L’agent a enchaîné deux failles jusque-là inconnues de Zammad, un logiciel libre de gestion de tickets d’assistance (support client ou informatique) : la première (CVE-2026-102489) permet de détourner une session et d’exécuter des commandes à distance, la seconde (CVE-2026-102490) d’obtenir les droits d’administration complets du serveur, le tout en quelques secondes selon le DIVD. D’après la fiche publiée par le DIVD, la première faille est exploitable sur les versions 6.3.0 à 6.5.4 ; la consigne est de passer à la version 7 ou de mettre le serveur hors ligne, et le DIVD recherche les serveurs vulnérables pour prévenir leurs propriétaires. Chez le DIVD, le cloisonnement du réseau (chaque service est isolé des autres) et la réaction de l’équipe ont empêché l’attaquant d’aller plus loin. Nous signalions le 13 septembre la campagne menée par des agents IA contre le logiciel d’impression PaperCut ; la nouveauté est qu’ici les failles n’étaient pas connues, donc qu’aucun correctif n’existait au moment de l’attaque. Ce que cela change pour vous : si vous ou votre prestataire utilisez Zammad, faites vérifier la version installée dès aujourd’hui ; plus largement, demandez si vos outils accessibles depuis Internet (support, impression, accès à distance) sont isolés du reste de votre réseau, car c’est ce cloisonnement, et non un correctif, qui a limité les dégâts dans ce cas.