Útok na DIVD: dvě chyby v Zammadu otevřely cestu k root přístupu

Dne 21. září 2026 útočníci pronikli do nizozemského Institutu pro zveřejňování zranitelností (Dutch Institute for Vulnerability Disclosure, DIVD) přes jeho helpdeskový systém Zammad. Organizace uvedla, že při útoku hrála roli agentická AI a dvě do té doby neznámé zranitelnosti. Jedna umožnila převzít uživatelskou relaci a vzdáleně spouštět kód, druhá následně zvýšit oprávnění až na úroveň root. Celý řetězec podle zveřejněných informací trval jen několik sekund. 3917

Veřejné zprávy popisují, co útok způsobil, neuvádějí však, jaký konkrétní AI systém byl použit ani kdo jej ovládal. 217

Jak chyby v Zammadu otevřely cestu do systému

Útok spojil dvě různé zranitelnosti v open-source platformě Zammad, kterou DIVD používal jako helpdesk:

1. CVE-2026-102489 umožňovala převzetí relace a vzdálené spuštění kódu pod lokálním účtem aplikace zammad. 315
2. CVE-2026-102490 umožňovala lokálnímu uživateli zvýšit oprávnění na root. V kombinaci tak chyby vedly od přístupu k helpdesku k ovládnutí jeho hostitele. 315
3. Odtud útočníci zamířili k dalším službám a kopírovali data. DIVD potvrdil přístup k dalším službám a exfiltraci dat. Dostupné zprávy ale neurčují úplný seznam zasažených systémů ani přesný rozsah odcizených informací. 113

DIVD útok označil za poháněný agentickou AI. Zprávy jej popisují jako hlučný a chaotický, to však samo o sobě neodhaluje, jaký model či poskytovatel byl použit, jak přesně agent postupoval ani kdo jej řídil. 217

Co DIVD zjistil a jak reagoval

DIVD uvedl, že zaznamenal podezřelou aktivitu, začal ji vyšetřovat a dospěl k závěru, že jeho systémy byly napadeny. V oznámení z 24. září organizace sdělila, že zablokovala přístup ke své infrastruktuře, přešla do režimu reakce na incident a zahájila forenzní vyšetřování s pomocí externího týmu. 17

Dne 30. září DIVD zveřejnil, že prvotní přístup vedl přes zranitelnosti v Zammadu, a přiřadil jim identifikátory CVE. Vyšetřování v té době pokračovalo. Veřejné informace neupřesňují, jaké konkrétní upozornění útok jako první odhalilo ani všechny kroky při jeho omezení a forenzním prověřování. 41516

Co by měli správci Zammadu prověřit

Porovnejte nainstalovanou verzi s aktuálním upozorněním DIVD. Podle jeho případu jsou vůči CVE-2026-102489 zranitelné verze 6.3.0 až 6.5.4. Upozornění uvádí také verze 7.0.0 až 7.1.3, u nichž ale kvůli podmínkám prostředí není zranitelnost zneužitelná. U CVE-2026-102490 uvádí rozsah od verze 1.5.0 do 7.1.0-alpha. Samotné tvrzení „používáme verzi 7“ proto nestačí k potvrzení, že instalace není zasažena. 15

Řiďte se aktuálním doporučením DIVD pro konkrétní verzi a obě CVE. U případu je stav opravy označen jako dostupný a doporučením je přechod na Zammad 7. Rozsahy zranitelných verzí se ale u obou chyb liší. Ověřte proto konkrétní vydání a řešení obou CVE; samotný přechod na hlavní verzi 7 není potvrzením, že byly odstraněny všechny problémy. 15

Prověřte, zda k průniku nedošlo už dříve. Zkontrolujte dostupné záznamy Zammadu, autentizace, webového serveru i hostitele. Hledejte neočekávané relace, spouštění kódu pod účtem zammad, eskalaci oprávnění, spojení s dalšími službami nebo neobvyklé přenosy dat. Jde o kontroly odvozené od popsaného průběhu útoku; zdroje neuvádějí úplný seznam forenzních indikátorů. 1315

Pokud existují známky přístupu na úrovni root, považujte za potenciálně kompromitovaný celý hostitel i přihlašovací údaje, k nimž mohl mít přístup. Uchovejte relevantní záznamy a systém před návratem do provozu důkladně prověřte. Samotná instalace aktualizace nepotvrzuje, že byl dřívější průnik zastaven.