موسسه هلندی افشای آسیب‌پذیری (DIVD)، که یک سازمان غیرانتفاعی در حوزه امنیت سایبری است، از مورد نفوذ به سیستم‌های خود خبر داد. در این عملیات، مهاجمان از یک حمله مبتنی بر هوش مصنوعی عامل‌محور (Agentic AI) برای بهره‌برداری از دو نقص امنیتی زیرو دِی در پلتفرم Helpdesk این سازمان استفاده کرده‌اند.
جزئیات فنی حمله و زنجیره اکسپلویت
طبق گزارش این سازمان، مهاجمان از دو آسیب‌پذیری در نرم‌افزار Zammad استفاده کردند. این دو نقص امنیتی در قالب یک زنجیره (Chain) به مهاجم اجازه دادند تا در عرض چند ثانیه اقدامات زیر را انجام دهد:
- ربودن نشست‌های کاربری (Session Hijacking)
- اجرای کد از راه دور (Remote Code Execution – RCE)
- ارتقای سطح دسترسی از کاربر Zammad به کاربر Root
آسیب‌پذیری‌های مورد استفاده شامل CVE-2026-102489 (اجرای کد از راه دور) و CVE-2026-102490 (ارتقای سطح دسترسی) است که در صورت ترکیب، امتیاز CVSS آن‌ها به 9.4 می‌رسد. این سازمان به تمامی کاربران Zammad توصیه کرده است که فوراً به نسخه 7 به‌روزرسانی کرده یا سیستم را از دسترس خارج کنند.
نقش هوش مصنوعی در تسریع حمله
تحلیل لاگ‌ها نشان می‌دهد که در این حمله از Agentic AI استفاده شده است. نکته قابل توجه این است که در اسکریپت‌های مهاجم، یادداشت‌هایی وجود داشت که در آن Agent هوش مصنوعی اقدامات خود را توجیه می‌کرد و توضیح می‌داد که چرا فعالیت‌هایش فیشینگ نیست؛ رفتاری که معمولاً در حملات انسانی دیده نمی‌شود. این موضوع نشان‌دهنده سرعت بالای نفوذ و اتوماسیون در مراحل شناسایی و اکسپلویت است.
مدیریت حادثه و پیامدها
موسسه DIVD اعلام کرد که به دلیل پیاده‌سازی صحیح Network Segmentation (بخش‌بندی شبکه) و واکنش سریع تیم Incident Response، توانستند از نفوذ عمیق‌تر مهاجمان به شبکه جلوگیری کنند. با این حال، بخشی از داده‌های داوطلبان، از جمله آدرس‌های ایمیل و اطلاعات تماس، نشت داده شد که ریسک حملات جعل هویت (Impersonation) را افزایش می‌دهد.
توصیه‌های امنیتی برای مدیران SOC
کارشناسان تأکید می‌کنند که حملات مبتنی بر AI، بازه زمانی شناسایی و پاسخ (Detection and Response) را به شدت کاهش داده‌اند. در چنین شرایطی، موارد زیر حیاتی‌تر از همیشه هستند:
- مانیتورینگ مستمر: برای سازمان‌های فاقد SOC اختصاصی، داشتن دید کامل (Visibility) از محیط شبکه ضروری است.
- بخش‌بندی شبکه: جداسازی سیستم‌ها برای جلوگیری از حرکت عرضی (Lateral Movement) مهاجم.
- مدیریت سریع وصله‌ها: به‌روزرسانی سریع سیستم‌ها برای بستن حفره‌های امنیتی پیش از بهره‌برداری.
- پروتکل‌های پاسخ سریع: تعیین دقیق افرادی که اختیار قطع دسترسی‌ها و ایزوله کردن سیستم‌های متأثر در ساعت اول حادثه را دارند.
