3 באוקטובר 2026
סוכן ה-AI שרשר שתי חולשות ב-Zammad והגיע ל-root בשניות, והקורבן היה הארגון שמדווח על חולשות
ב-21 בספטמבר נפרץ DIVD, המכון ההולנדי לגילוי חולשות, דרך שתי חולשות יום-אפס ב-Zammad. אחת נותנת session והרצת קוד על השרת, השנייה הופכת את חשבון השירות ל-root. NVD נתנה לכל אחת 9.8, ושתיהן נכנסו לרשימת ה-KEV של CISA עם תאריך יעד 5 באוקטובר.