DIVD hacket av KI-agent via to nulldagshull i Zammad

Organisasjonen som varsler andre om sårbarheter, ble selv rammet. Dutch Institute for Vulnerability Disclosure (DIVD), et nettverk av frivillige sikkerhetsforskere, skriver i saksfilen sin at angriperen kom inn 21. september via ticketsystemet CSIRT-teamet bruker. Dagen etter ble all tilgang til systemene i datasenteret stengt, og etterforskningen startet sammen med Merlon Security.

«Dette er et angrep vi ikke har sett før. Ikke fordi det er vårt første, men fordi modus operandi tyder på at dette er et agentisk KI-drevet angrep» — DIVD på LinkedIn 24. september, gjengitt av SecurityWeek

Ifølge BleepingComputer handlet agenten på egen hånd uten styring utenfra, og den la igjen forklaringer på sine egne beslutninger. Det er de sporene som lot DIVD rekonstruere hendelsen.

De to hullene er CVE-2026-102489 og CVE-2026-102490, begge med CVSS 9,4 ifølge SecurityWeek. Det første gir sesjonskapring og kodekjøring som zammad-brukeren i versjon 6.3.0 til 6.5.4. Feilen finnes også i 7.0.0 til 7.1.3, men lar seg ikke utnytte der på grunn av miljøforhold. Det andre lar den lokale zammad-brukeren eskalere til root, og ifølge DIVD finnes det i alle versjoner, også siste alpha. Kjeden gikk fra kapret sesjon til root på sekunder.

Segmentering av nettverket hindret angriperen i å komme dypere, men DIVD vet sikkert at e-postadresser og trolig kontaktinfo til frivillige er hentet ut. Ticketsystemet rommer dessuten all e-post til og fra CSIRT-postkassen. Har du korrespondert med DIVD, bør du ifølge organisasjonen anta at angriperen kan ha skannedata med IP-adresser til sårbare systemer, rapporterte sårbarheter og utdrag av lekkede passorddumper med maskerte passord.

Zammad oppgir over 2000 kunder og 55 000 brukere, og programvaren kjøres ofte selvhostet. DIVD har siden 26. september skannet etter sårbare instanser som er åpne mot internett og varslet eierne.

Hva bør du gjøre?

1. Oppgrader Zammad til versjon 7 eller ta instansen offline, slik DIVD anbefaler.
2. Kjør loggsjekk-skriptet DIVD har publisert mot Zammad-loggene for å lete etter kompromitteringsindikatorer.
3. Skill helpdesken fra resten av nettet ditt, siden root-hullet fortsatt finnes i alle versjoner og det var segmentering som stoppet angriperen hos DIVD.