مؤسسه افشای آسیب‌پذیری هلند (DIVD) تأیید کرد که زیرساخت‌های این سازمان از طریق دو آسیب‌پذیری ناشناخته (Zero-Day) در پلتفرم Zammad مورد حمله قرار گرفته است. Zammad یک سیستم متن‌باز برای پشتیبانی مشتریان و مدیریت تیکت‌ها است که توسط تیم پاسخ به حوادث DIVD مورد استفاده قرار می‌گرفت.
جزئیات فنی حمله و زنجیره اکسپلویت
حمله در تاریخ ۲۱ سپتامبر ۲۰۲۶ آغاز شد و روز بعد توسط تیم‌های امنیتی شناسایی گردید. بر اساس بررسی‌های فارنزیک، عامل تهدید با ترکیب (Chaining) دو آسیب‌پذیری مختلف، توانست ابتدا یک Session را برباید، سپس کد را به صورت از راه دور (RCE) با دسترسی کاربر zammad اجرا کرده و در نهایت سطح دسترسی خود را به Root ارتقا دهد.
- CVE-2026-102489: با امتیاز CVSS 8.7، این آسیب‌پذیری نسخه‌های 6.3.0 تا 6.5.4 را تحت تأثیر قرار می‌دهد. در صورت ترکیب با آسیب‌پذیری دوم، امتیاز بحرانی 9.4 را کسب می‌کند.
- CVE-2026-102490: یک آسیب‌پذیری افزایش سطح دسترسی محلی (Local Privilege Escalation) با امتیاز CVSS 8.5 است که به مهاجم اجازه داد دسترسی Root به سیستم را به دست آورد.
داده‌های لو رفته و دامنه تأثیر
این نفوذ منجر به سرایت به سیستم تیکتینگ CSIRT شد. اطلاعات استخراج شده شامل موارد زیر است:
- آدرس‌های ایمیل و جزئیات تماس داوطلبان DIVD.
- مکاتبات ایمیلی بین DIVD و پژوهشگران یا سازمان‌های متقاضی کمک.
- آدرس‌های IP سیستم‌های آسیب‌پذیر، گزارش‌های مربوط به باگ‌ها و بخش‌هایی از Credential Dumpها با رمزهای عبور ماسک شده.
استفاده از هوش مصنوعی در حمله
مؤسسه DIVD این نفوذ را یک «حمله قدرت گرفته از AI» توصیف کرده است. بازرسان اسکریپت‌هایی را یافتند که در کامنت‌های آن‌ها، یک Agent هوش مصنوعی اقدامات خود را توضیح و توجیه کرده بود. طبق گزارش، این حمله بسیار سریع و خودکار بوده و Agent به طور مستقل مراحل بعدی را انتخاب می‌کرده است، هرچند منطق عملیاتی آن «نامنظم» توصیف شده است.
اقدامات پیشگیرانه و توصیه‌ها
به دلیل پیاده‌سازی Network Segmentation و جداسازی سریع زیرساخت‌های متأثر، مهاجمان نتوانستند به بخش‌های دیگر محیط نفوذ کنند. سیستم‌های حسابداری و بانکی که به صورت خارجی مدیریت می‌شدند، آسیبی ندیده‌اند.
شرکت Zammad توصیه می‌کند کاربران سریعاً به نسخه 7.2.0 به‌روزرسانی کنند. همچنین DIVD پیشنهاد می‌دهد سازمان‌ها به نسخه 7 مهاجرت کرده یا نمونه‌های آسیب‌پذیر را به طور کامل آفلاین کنند. مدیران سیستم باید پیش از به‌روزرسانی، Logهای شبکه و اپلیکیشن را برای بررسی آثار نفوذ حفظ نمایند.
