Нидерландският институт за разкриване на уязвимости (DIVD) съобщава, че пробивът в неговата мрежа е станал възможен чрез експлоатиране на верига от две zero-day уязвимости в платформата с отворен код за управление на тикети Zammad.

Преди това неправителствената организация от доброволци и изследователи по сигурността заяви, че атаката е била „шумна и много, много хаотична“, водена от AI агент, който е действал автономно и е вземал решения за следващите си стъпки без външна намеса или насочване.

DIVD успя да извлече подробна информация за атаката, тъй като AI агентът е оставил ясни обяснения за своите решения, което е позволило на организацията да възстанови хронологията на инцидента.

Според неправителствената организация за киберсигурност двете уязвимости, идентифицирани като CVE-2026-102489 и CVE-2026-102490, са дали възможност за прихващане на сесии, отдалечено изпълнение на код и ескалация на привилегии до root.

След експлоатирането на уязвимостите атакуващият е успял да получи достъп до други услуги, да прочете и да извлече данни от системите на DIVD — всички действия са извършени за броени секунди благодарение на автоматизацията с изкуствен интелект.

„Използвани заедно, те са позволили на атакуващите да прихващат сесии, да изпълняват код отдалечено и да ескалират привилегиите си от потребител на Zammad до root за секунди, благодарение на автономния характер на тази атака“, заявяват от DIVD.

Благодарение на мрежовата сегментация и предприетите действия за реагиране на инциденти, авторът на заплахата не е успял да проникне по-дълбоко в мрежата. Разследването обаче все още продължава.

Zammad е платформа с отворен код за поддръжка и управление на тикети, базирана на изкуствен интелект, използвана за обработка на клиентски запитвания, заявки за ИТ поддръжка и вътрешна тикет система.

Решението се предлага като локално инсталирана (self-hosted) или облачна услуга, като Zammad твърди на уебсайта си, че има над 2000 клиенти и 55 000 потребители, сред които De’Longhi, Amnesty International и NextCloud.

DIVD откри zero-day уязвимостите в сътрудничество с Merlon Security. Организацията е уведомила Zammad за проблема и предупреждава останалите потребители на уязвими инсталации.

Неправителствената организация препоръчва на потребителите на Zammad да актуализират до версия 7, която се счита за защитена, или да спрат достъпа до уязвимите инсталации възможно най-скоро.

DIVD обеща да сподели допълнителна информация за инцидента утре.