مؤسسه هلندی افشای آسیب‌پذیری (DIVD) هدف یک حمله پیچیده قرار گرفت که در آن از عوامل هوش مصنوعی (AI Agents) برای نفوذ به سیستم‌های این سازمان استفاده شده است. مهاجمان با بهره‌برداری از دو آسیب‌پذیری زیرو دِی در پلتفرم پشتیبانی Zammad، موفق شدند در عرض چند ثانیه از سرقت Session، اجرای کد از راه دور (RCE) و در نهایت ارتقای سطح دسترسی به Root عبور کنند.
جزئیات فنی زنجیره حمله (Exploit Chain)
این حمله از طریق ترکیب دو نقص امنیتی بحرانی با امتیاز CVSS 4.0 معادل 9.4 اجرا شده است:
- CVE-2026-102489: این آسیب‌پذیری به مهاجمان غیر-احراز هویت شده اجازه می‌دهد تا به اجرای کد از راه دور (Remote Code Execution) دست یابند و Sessionهای کاربران را استخراج کنند. این نقص در نسخه‌های 6.3.0 تا 6.5.4 فعال است.
- CVE-2026-102490: این نقص امنیتی به یک کاربر محلی اجازه می‌دهد تا سطح دسترسی خود را به Root ارتقا دهد (Privilege Escalation). طبق گزارش‌ها، تمامی نسخه‌های Zammad در برابر این آسیب‌پذیری آسیب‌پذیر هستند.
نقش هوش مصنوعی در عملیات
کارشناسان DIVD معتقدند این حمله توسط یک Agentic AI هدایت شده است. دلیل این ادعا، سرعت بسیار بالای تصمیم‌گیری در هر مرحله از حمله و همچنین وجود یادداشت‌های توجیهی در کدهای اسکریپت است. در این اسکریپت‌ها، AI برای هر اقدام خود توضیحاتی نوشته بود تا توجیه کند چرا این عمل «فیشینگ نیست»؛ رفتاری که در حملات انسانی به‌ندرت دیده می‌شود و نشان‌دهنده اتوماسیون تصمیم‌گیرنده در لحظه است.
پیامدهای امنیتی و توصیه‌ها
در اثر این نفوذ، داده‌های مربوط به پژوهشگران داوطلب DIVD، از جمله آدرس‌های ایمیل و اطلاعات تماس آن‌ها سرقت شده است. این موضوع ریسک حملات مهندسی اجتماعی (Social Engineering) را برای این افراد افزایش می‌دهد، زیرا مهاجمان اکنون می‌توانند خود را به جای کارکنان DIVD جا بزنند.
توصیه نهایی: تمامی کاربران سیستم Zammad باید فوراً به نسخه 7 به‌روزرسانی کرده یا در صورت عدم امکان، سیستم را به‌طور کامل از دسترس (Offline) خارج کنند.
به‌روزرسانی (اکتبر 2, 2026 — GBHackers)
به‌روزرسانی: جزئیات فنی بیشتری در مورد زنجیره حمله (Attack Chain) که منجر به نفوذ به زیرساخت‌های DIVD شد، منتشر شده است. این حمله شامل دو آسیب‌پذیری بحرانی با شناسه CVE-2026-102489 و CVE-2026-102490 است که در صورت ترکیب، امتیاز CVSS 9.4 را دریافت می‌کنند.
آسیب‌پذیری اول (CVE-2026-102489) مربوط به نسخه‌های 6.3.0 تا 6.5.4 است و امکان Session Hijacking را فراهم می‌کند که در نهایت منجر به اجرای کد از راه دور (RCE) در سطح کاربر سیستم Zammad می‌شود. اگرچه این کد در نسخه‌های 7.0.0 تا 7.1.3 نیز وجود دارد، اما به دلیل شرایط محیطی، اکسپلویت آن در این نسخه‌ها امکان‌پذیر نیست و اصلاحیه نهایی در نسخه 7.2.0 ارائه شده است.
آسیب‌پذیری دوم (CVE-2026-102490) یک نقص Local Privilege Escalation است که نسخه‌های 1.5.0 تا 7.1.0-alpha را تحت تاثیر قرار می‌دهد. مهاجم پس از کسب دسترسی اولیه از طریق نقص اول، می‌تواند با استفاده از این آسیب‌پذیری، سطح دسترسی خود را به Root ارتقا داده و کنترل کامل سیستم‌عامل را به دست بگیرد.
کارشناسان توصیه می‌کنند مدیران سیستم‌هایی که از نسخه‌های 6.3.0 تا 6.5.4 استفاده می‌کنند، فوراً اقدامات زیر را انجام دهند:
- ارتقای سریع به نسخه 7 یا خارج کردن نمونه‌های آسیب‌پذیر از دسترس.
- بایگانی و بررسی Logهای وب‌سرور، احراز هویت و سیستم پیش از اعمال اصلاحات.
- تغییر رمز عبور (Rotate) تمامی Credentialهای احتمالی افشا شده.
- بررسی فعالیت‌های مشکوک در Sessionها و اجرای دستورات غیرمجاز.
