Zammad: zero-day în lanț împotriva DIVD, atac cu agenți IA

Dutch Institute for Vulnerability Disclosure (DIVD), organizația olandeză de voluntari care raportează în mod responsabil vulnerabilitățile găsite în sistemele expuse, a anunțat public că a fost la rândul ei compromisă. Atacatorii au intrat prin helpdeskul său Zammad, folosind două vulnerabilități necunoscute până atunci, CVE-2026-102489 și CVE-2026-102490, iar potrivit DIVD operațiunea a fost condusă de agenți de inteligență artificială.

Despre prima vulnerabilitate am scris deja într-un articol dedicat. Acest articol se ocupă de incident, de lanțul de atac și de a doua CVE, pe baza raportului și a postărilor DIVD preluate de The Register și Infosecurity Magazine.

Ce s-a întâmplat

• Cronologie: potrivit reconstituirii DIVD citate de The Register, intruziunea a avut loc pe 21 septembrie și a fost descoperită a doua zi. DIVD a blocat accesul la toate sistemele din centrul său de date și a format o echipă de răspuns împreună cu Merlon Security. Pe 24 septembrie a raportat vulnerabilitățile producătorului, a anunțat autoritatea olandeză pentru protecția datelor și National Cyber Security Centre și a discutat opțiunile cu poliția. Infosecurity Magazine plasează în schimb pe 24 septembrie momentul în care a fost observată activitatea suspectă: cele două publicații nu coincid în privința datei descoperirii.
• Date furate: potrivit ambelor publicații, atacatorii au luat date ale voluntarilor, printre care adresele de email DIVD și posibil alte date de contact. DIVD încă verifică ce date ale căror voluntari sunt afectate.
• Limitare: potrivit Infosecurity Magazine, DIVD a scris că de pe serverul Zammad atacatorii au ajuns la alte servicii și au citit și exfiltrat date, dar că segmentarea rețelei și intervenția echipei i-au împiedicat să pătrundă mai adânc.

Lanțul de atac

Folosite împreună, cele două vulnerabilități au permis deturnarea sesiunilor, executarea de cod de la distanță și escaladarea privilegiilor de la utilizatorul zammad la root: „în câteva secunde”, scrie DIVD, tocmai din cauza părții automatizate a atacului.

• CVE-2026-102489: potrivit The Register, permite unui atacator neautentificat să obțină sesiunile utilizatorilor și să execute cod de la distanță ca utilizatorul local zammad. Versiuni exploatabile: de la 6.3.0 la 6.5.4. Defectul există și în ramura 7, dar, potrivit avizului DIVD, nu este exploatabil din cauza condițiilor mediului. The Register indică versiunile de la 7.0.0 la 7.1.3, în timp ce descrierea NVD citată în articolul nostru anterior se oprea la 7.1.2.
• CVE-2026-102490: escaladarea privilegiilor de la un utilizator local la root. Potrivit The Register, sunt vulnerabile toate versiunile Zammad.
• Scor: ambele au un scor CVSS 4.0 de 9,4, calculat în scenariul lanțului de DIVD, care este și CNA și a atribuit cele două CVE.
• MITRE ATT&CK, corespondență orientativă pe baza faptelor raportate: T1190 (Exploit Public-Facing Application), T1539 (Steal Web Session Cookie), T1068 (Exploitation for Privilege Escalation).

Sursele nu publică indicatori de compromitere: DIVD a spus că nu poate împărtăși mai mult fără să încurce investigația.

De ce vorbește DIVD despre agenți IA

DIVD a declarat că nu a mai văzut un astfel de atac, nu din cauza intruziunii în sine, ci a modului de operare. Potrivit The Register, l-a descris drept „zgomotos și foarte dezordonat”: în jurnale se vedea un agent care, după fiecare acțiune, decidea singur pasul următor, cu mare viteză și cu o logică aproximativă.

Cel mai concret indiciu, relatat de ambele publicații, sunt comentariile din scripturile atacatorului: note în care agentul își justifică propriile acțiuni, explicând de ce ceea ce face este acceptabil și „nu este phishing”. Un atacator uman, observă DIVD, nu și-ar pierde timpul cu așa ceva. Este o evaluare a DIVD bazată pe jurnale: sursele nu spun ce model sau instrument a fost folosit și nici cine se află în spate.

Impactul pentru companiile europene și italiene

Un helpdesk păstrează tichete, emailuri și date personale ale clienților și angajaților. Cazul DIVD le arată celor care apără două lucruri: timpii se scurtează, de la sesiunea furată la root în câteva secunde, iar segmentarea funcționează, pentru că ea a limitat pagubele. Tim Burke, de la Quest Technology Management, intervievat de Infosecurity Magazine, adaugă că, în fața atacurilor cu viteză de mașină, trebuie să știi dinainte cine are autoritatea de a izola sisteme și de a bloca conturi.

Există și un risc indirect: cu adresele voluntarilor în mâinile atacatorilor, devine mai ușor să te dai drept DIVD. Potrivit The Register, organizația le cere celor care primesc emailuri sau cereri de contact în numele ei care par ciudate să le verifice scriind la communications@divd.nl.

DIVD a notificat incidentul autorității pentru protecția datelor și centrului național de securitate cibernetică. În Italia schema este aceeași: notificare către CSIRT Italia al ACN pentru entitățile NIS2 și, dacă sunt implicate date personale, evaluarea notificării către Garante conform GDPR.

Ce să faci acum

1. Inventar: găsește toate instanțele Zammad și versiunea lor; prioritate au cele accesibile din Internet și versiunile de la 6.3.0 la 6.5.4.
2. Actualizează sau oprește: DIVD recomandă tuturor utilizatorilor Zammad să treacă la versiunea 7 sau să scoată serviciul offline cât mai curând. Sursele nu indică o versiune care să corecteze CVE-2026-102490: verifică în avizul Zammad.
3. Redu expunerea și segmentează: până la actualizare, fă helpdeskul accesibil doar din rețeaua internă sau prin VPN și limitează conexiunile de la serverul helpdeskului către alte sisteme interne la cele strict necesare.
4. Caută semne de compromitere pe instanțele expuse cu versiuni vulnerabile: comenzi lansate de utilizatorul zammad, procese neașteptate cu privilegii de root, scripturi noi în folderele aplicației și în cele temporare, sesiuni anormale, conexiuni de la server către alte sisteme interne. Activitatea automatizată se recunoaște în jurnale după rapiditatea cu care se succed acțiunile.
5. După actualizare, închide sesiunile active. Dacă găsești urme, înlocuiește credențialele și tokenurile integrărilor și ia în calcul reconstruirea serverului: atacatorul poate să fi obținut root.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta în Internet și ce produse sunt recunoscute pe ele, astfel încât un helpdesk accesibil din exterior iese imediat în evidență. ARX Shield listează vulnerabilitățile deschise de pe mașinile monitorizate, evidențiindu-le pe cele deja exploatate, și îți permite să izolezi de rețea o mașină suspectă. ARX Sentry colectează jurnale și evenimente de pe serverele pe care este instalat agentul, inclusiv execuțiile suspecte și modificările fișierelor din folderele stabilite; cu ARX Trace, analiștii reconstituie ce s-a întâmplat prin colectări și căutări pe mai multe mașini.

Ultima actualizare: 2 octombrie 2026