Две 0-day в Zammad позволили ИИ-агенту взломать сеть DIVD

Нидерландский институт раскрытия уязвимостей (DIVD) сообщил, что недавний взлом его сети стал возможен благодаря эксплуатации цепочки из двух уязвимостей нулевого дня в открытой системе управления тикетами Zammad.

Ранее эта некоммерческая организация, объединяющая волонтёров-исследователей безопасности, охарактеризовала атаку как «шумную и очень, очень грязную». Вёл её ИИ-агент, который действовал автономно и сам выбирал следующие шаги — без внешнего вмешательства и указаний.

Атака, которая сама себя задокументировала

Парадоксальным образом именно автономность помогла расследованию. ИИ-агент оставил после себя понятные пояснения к своим решениям, и по этим записям DIVD смог восстановить ход инцидента.

По данным организации, две уязвимости, получившие идентификаторы CVE-2026-102489 и CVE-2026-102490, позволяли перехватывать сессии, выполнять произвольный код удалённо и повышать привилегии от пользователя Zammad до root. Использованные в связке, они дали злоумышленникам возможность проделать всю цепочку за считаные секунды — как подчёркивает DIVD, именно благодаря «агентной» составляющей атаки.

После эксплуатации уязвимостей нападавший получил доступ к другим сервисам, а также читал и выгружал данные из систем DIVD. Все эти действия выполнялись за секунды за счёт ИИ-автоматизации.

Благодаря сегментации сети и действиям по реагированию на инцидент злоумышленник не смог продвинуться глубже. Расследование, впрочем, ещё продолжается.

Что такое Zammad и кому стоит беспокоиться

Zammad — открытая платформа службы поддержки и учёта заявок, используемая для обработки обращений клиентов, ИТ-запросов и внутренних тикетов. Решение доступно как в самостоятельно размещаемом виде, так и в качестве облачного сервиса. По собственным данным Zammad, у платформы более 2000 клиентов и 55 000 пользователей, среди которых De’Longhi, Amnesty International и NextCloud.

Уязвимости DIVD обнаружил совместно с Merlon Security. Организация уведомила разработчиков Zammad и предупреждает других владельцев уязвимых экземпляров.

Пользователям рекомендуют как можно скорее обновиться до версии 7, которая считается безопасной, либо временно отключить свой экземпляр. Дополнительные подробности об инциденте DIVD обещал раскрыть в ближайшее время.

Источник: Bleeping Computer