Holenderski Dutch Institute for Vulnerability Disclosure (DIVD) potwierdził, że napastnicy uzyskali dostęp do jego infrastruktury przez dwa nieznane wcześniej błędy w systemie Zammad. Wyciekły m.in. adresy e-mail wolontariuszy i prawdopodobnie część danych kontaktowych. Ślady wskazują również na dostęp do systemu zgłoszeń CSIRT, w którym przechowywana była korespondencja dotycząca podatności i incydentów.
Jak napastnicy dostali się do DIVD?
W publicznym opisie incydentu DIVD organizacja wskazuje na dwa zero-daye w Zammad: CVE-2026-102489 pozwalający na zdalne wykonanie kodu w określonych wersjach oraz CVE-2026-102490 umożliwiający eskalację uprawnień do roota.
DIVD opisuje również nietypowy charakter samego ataku. W skryptach znajdowały się komentarze sugerujące wykorzystanie autonomicznego agenta AI, który podejmował kolejne działania automatycznie i pozostawiał w kodzie wyjaśnienia własnych decyzji.
Jakie dane mogły zostać przejęte?
Organizacja potwierdziła wyciek adresów e-mail wolontariuszy i możliwy wyciek innych danych kontaktowych. System ticketowy CSIRT zawierał też wiadomości przesyłane do skrzynek zespołu, informacje o podatnych systemach oraz korespondencję z osobami zgłaszającymi luki.
DIVD ostrzega, że przejęcie prawdziwych adresów wolontariuszy ułatwia podszywanie się pod organizację. Jeżeli wiadomość od osoby przedstawiającej się jako członek DIVD wydaje się nietypowa, warto potwierdzić ją niezależnym kanałem.
Czy Zammad został zabezpieczony?
DIVD zalecił użytkownikom podatnych wersji przejście do Zammad 7 lub wyłączenie systemu do czasu zabezpieczenia. Organizacja rozpoczęła również aktywne skanowanie i powiadamianie właścicieli podatnych instancji.