كيف قاد هجوم بمساعدة الذكاء الاصطناعي إلى اختراق DIVD عبر ثغرتين في Zammad

في 21 سبتمبر 2026، تعرّض المعهد الهولندي للإفصاح عن الثغرات (DIVD) لاختراق عبر نظام Zammad، وهو برنامج مفتوح المصدر لإدارة طلبات الدعم الفني. وقال المعهد إن الهجوم استغل ثغرتين لم تكونا معروفتين وقتها، وإن المهاجم انتقل بواسطتهما من خطف جلسة إلى السيطرة بصلاحيات الجذر خلال ثوانٍ. وبعد ذلك، وصل إلى خدمات أخرى ونسخ بيانات. 13913

وصفت DIVD الهجوم بأنه مدعوم بذكاء اصطناعي وكيل، لكن التقارير المتاحة لا تحدد النظام أو النموذج المستخدم، ولا الجهة التي شغّلته أو سيطرت عليه. 217

كيف مكّنت ثغرتا Zammad من الاختراق؟

اعتمد الهجوم على سلسلة من ثغرتين مختلفتين:

1. CVE-2026-102489 أتاحت خطف الجلسات وتنفيذ تعليمات برمجية عن بُعد بصلاحيات مستخدم تطبيق Zammad المحلي، المعروف باسم zammad. 315
2. CVE-2026-102490 أتاحت لمستخدم محلي رفع صلاحياته إلى مستوى الجذر، وهو أعلى مستوى تحكم في النظام. 315
3. الجمع بين الثغرتين نقل المهاجم من نظام الدعم إلى الخادم ثم إلى خدمات أخرى. وأفادت DIVD بوصول المهاجمين إلى خدمات إضافية وقراءة بيانات ونسخها، لكن المعلومات المنشورة لا تقدم قائمة كاملة بالأنظمة أو البيانات التي طالها الاختراق. 113

وصفت تقارير النشاط بأنه صاخب وفوضوي، لكن هذه الأوصاف لا تكشف وحدها كيف عمل وكيل الذكاء الاصطناعي بالتحديد، أو أي نموذج ومزوّد استُخدم، أو هوية مشغّله. 217

ما الذي أعلنته DIVD عن اكتشاف الاختراق والاستجابة له؟

قالت DIVD إنها رصدت نشاطاً مريباً، وحققت فيه، ثم خلصت إلى أن أنظمتها تعرضت للاختراق. وفي إشعارها الصادر في 24 سبتمبر، ذكرت أنها حظرت الوصول إلى بنيتها التحتية، وبدأت الاستجابة للحادث والتحقيق الجنائي الرقمي بمساعدة جهة خارجية. 17

وفي 30 سبتمبر، أعلنت أن ثغرتي Zammad كانتا مدخل الهجوم، ونشرت رقميهما التعريفيين CVE بينما استمر التحقيق. ولا تحدد التقارير المتاحة التنبيه الدقيق الذي كشف الاختراق أول مرة، أو جميع خطوات الاحتواء والتحقيق التي اتخذتها DIVD. 41516

ما الذي ينبغي لمسؤولي Zammad فعله؟

تحققوا من الإصدار وفقاً لإرشادات DIVD الخاصة بالثغرتين. تدرج DIVD إصدارات Zammad من 6.3.0 إلى 6.5.4 ضمن الإصدارات المتأثرة بـCVE-2026-102489. كما تذكر الإصدارات من 7.0.0 إلى 7.1.3 ضمن نطاق هذه الثغرة، مع الإشارة إلى أن ظروف البيئة تمنع استغلالها في تلك الإصدارات. أما CVE-2026-102490، فتشمل الإصدارات المدرجة لها النطاق من 1.5.0 إلى 7.1.0-alpha. لذلك، لا يكفي القول إن النظام يعمل بإصدار من السلسلة 7 للحكم بأنه غير متأثر. 15

اتبعوا إرشادات DIVD الحالية لاختيار التحديث أو الإجراء المناسب. تذكر صفحة الحالة أن التحديث متاح وتوصي بالترقية إلى Zammad 7، لكن تفاصيل الإصدارات المتأثرة تختلف بين الثغرتين. راجعوا الصفحة بحسب إصداركم وكلتا الثغرتين، ولا تعتبروا الترقية إلى إصدار رئيسي دليلاً بحد ذاتها على معالجة كل مشكلة. 15

تحققوا من احتمال وقوع اختراق سابق، لا من وجود إصدار متأثر فحسب. راجعوا سجلات Zammad والمصادقة وخادم الويب والنظام المضيف بحثاً عن جلسات غير متوقعة، أو تنفيذ تعليمات برمجية بحساب zammad، أو رفع للصلاحيات، أو اتصالات بخدمات أخرى، أو نقل بيانات غير معتاد. تستند هذه المؤشرات إلى سلسلة الهجوم المعلنة، لكن المصادر لا تقدم قائمة كاملة بمؤشرات الاختراق الجنائي الرقمي. 1315

إذا ظهرت دلائل على وصول بصلاحيات الجذر، فتعاملوا مع الخادم وبيانات الدخول التي كان بإمكانه الوصول إليها على أنها ربما تعرضت للاختراق. احتفظوا بالسجلات ذات الصلة وحققوا في الحادث قبل إعادة النظام إلى الخدمة؛ فالتحديث وحده لا يثبت احتواء اختراق سابق.