CISA, Zammad Destek Platformundaki Kritik Zafiyetleri Kataloguna Ekledi

ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), Zammad destek platformunda tespit edilen iki kritik zafiyeti, aktif olarak sömürülen açıklar listesi olan Known Exploited Vulnerabilities (KEV) kataloğuna ekledi. CVE-2026-102489 ve CVE-2026-102490 kodlarıyla takip edilen bu açıklar, 9.4 gibi oldukça yüksek bir CVSS puanına sahip.

Söz konusu zafiyetler, Hollanda Güvenlik Açığı İfşa Enstitüsü'nün (DIVD) kendi sistemlerine yönelik bir siber saldırıyı incelemesi sırasında gün yüzüne çıktı. Araştırmacılar, saldırganların bir yapay zeka ajanı kullanarak sistemlerine sızdığını ve bu iki açığı zincirleme şekilde sömürdüğünü tespit etti. İlk açık olan CVE-2026-102489, oturum ele geçirme yoluyla uzaktan kod yürütülmesine olanak tanırken; CVE-2026-102490 ise yerel yetki yükseltme sağlayarak saldırganın sistemde root seviyesinde erişim kazanmasını sağlıyor.

Yapılan incelemeler, saldırganın bu iki açığı birleştirerek saniyeler içinde sistemin kontrolünü ele geçirdiğini ve ardından ağdaki diğer hizmetlere erişim sağlayarak veri sızdırdığını gösteriyor. Yapay zeka destekli bu saldırı yöntemi, insan müdahalesine gerek kalmadan sistemin analiz edilmesini ve bir sonraki adımın otomatik olarak gerçekleştirilmesini mümkün kılıyor.

CISA, federal kurumlara bu zafiyetleri kapatmaları için 5 Ekim 2026 tarihine kadar süre tanıdı. Zammad geliştiricileri, tüm kullanıcıların sistemlerini güvenli kabul edilen **7. DIVD ise kullanıcıların log kayıtlarını kontrol etmeleri için bir tarama betiği yayınladı.