Zammad की दो ज़ीरो-डे खामियों से कैसे भेदा गया DIVD का नेटवर्क

नीदरलैंड की संस्था Dutch Institute for Vulnerability Disclosure (DIVD)—जो सॉफ्टवेयर की सुरक्षा खामियां खोजकर संबंधित पक्षों को बताती है—ने 21 सितंबर 2026 को अपने नेटवर्क में सेंध लगने की जानकारी दी। हमलावरों ने संस्था के ओपन-सोर्स हेल्पडेस्क सॉफ्टवेयर Zammad में मौजूद दो पहले से अज्ञात खामियों का इस्तेमाल किया। DIVD के मुताबिक, इस हमले में AI एजेंट की भूमिका थी और दोनों खामियों को जोड़कर सेशन हाईजैक करने से लेकर रूट एक्सेस पाने तक की प्रक्रिया सेकंडों में हुई। 3917

रूट अधिकार मिलने के बाद हमलावर दूसरे सिस्टम तक पहुंचे और डेटा पढ़कर उसकी नकल बाहर ले गए। उपलब्ध रिपोर्टों से यह पता नहीं चलता कि किन-किन सेवाओं या कितने डेटा तक पहुंच बनाई गई। न ही वे AI सिस्टम, उसके प्रदाता या उसे चलाने वाले व्यक्ति की पहचान बताती हैं। 11317

Zammad की दोनों खामियों ने कैसे रास्ता बनाया

हमले में दो अलग-अलग कमजोरियों की कड़ी बनाई गई:

1. CVE-2026-102489: इस खामी से सेशन हाईजैक किया जा सकता था और Zammad एप्लिकेशन के स्थानीय zammad यूज़र के तौर पर रिमोट कोड चलाया जा सकता था। 315
2. CVE-2026-102490: इस खामी से स्थानीय यूज़र अपने अधिकार बढ़ाकर सिस्टम का सबसे ऊंचा स्तर—रूट—हासिल कर सकता था। पहली खामी से मिली पहुंच के बाद दूसरी का इस्तेमाल करके हमलावर हेल्पडेस्क से उसके होस्ट सिस्टम पर नियंत्रण तक पहुंचा। 315
3. इसके बाद दूसरे सिस्टम और डेटा तक पहुंच: DIVD के बयानों में अन्य सेवाओं तक पहुंच और डेटा बाहर ले जाने का जिक्र है। लेकिन उपलब्ध जानकारी से प्रभावित सिस्टमों या कॉपी किए गए डेटा की पूरी सूची तय नहीं होती। 113

DIVD ने हमले को एजेंटिक-AI-संचालित बताया। कुछ रिपोर्टों ने गतिविधि को शोर-शराबे वाली और अव्यवस्थित कहा है। ये विवरण यह साबित नहीं करते कि कौन-सा AI मॉडल या सेवा इस्तेमाल हुई, एजेंट ने ठीक किस तरह काम किया या उसे किसने नियंत्रित किया। 217

DIVD ने हमले का पता कैसे लगाया और क्या बताया

DIVD के मुताबिक, उसने संदिग्ध गतिविधि देखी, जांच की और पाया कि उसके सिस्टम में सेंध लगी थी। 24 सितंबर के अपने नोटिस में संस्था ने बताया कि उसने अपने इंफ्रास्ट्रक्चर तक पहुंच रोक दी, घटना-प्रतिक्रिया (incident response) शुरू की और बाहरी विशेषज्ञों की मदद से फॉरेंसिक जांच शुरू की। 17

30 सितंबर को DIVD ने बताया कि Zammad की खामियां ही शुरुआती प्रवेश का रास्ता थीं और दोनों CVE पहचान संख्याएं सार्वजनिक कीं। उस समय जांच जारी थी। उपलब्ध रिपोर्टों में यह स्पष्ट नहीं है कि सबसे पहले किस अलर्ट ने संदिग्ध गतिविधि पकड़ी या रोकथाम और फॉरेंसिक जांच के हर कदम में क्या हुआ। 41516

Zammad प्रशासकों को अब क्या जांचना चाहिए

इंस्टॉल किए गए संस्करण को DIVD की केस एडवाइजरी से मिलाएं। DIVD के अनुसार, CVE-2026-102489 से Zammad के संस्करण 6.3.0 से 6.5.4 तक प्रभावित हैं। एडवाइजरी में 7.0.0 से 7.1.3 तक के संस्करण भी इस खामी से प्रभावित बताए गए हैं, हालांकि उन रिलीज़ में पर्यावरण संबंधी स्थितियों के कारण इसका इस्तेमाल संभव नहीं बताया गया। CVE-2026-102490 के लिए प्रभावित दायरा 1.5.0 से 7.1.0-alpha तक दिया गया है। इसलिए सिर्फ “हम संस्करण 7 चला रहे हैं” कहना यह साबित करने के लिए काफी नहीं कि इंस्टॉलेशन सुरक्षित है। 15

दोनों CVE के लिए अपने खास संस्करण पर लागू अपडेट या उपाय की पुष्टि करें। DIVD की केस फाइल में पैच उपलब्ध होने की स्थिति दर्ज है और Zammad संस्करण 7 में अपग्रेड की सिफारिश की गई है। मगर दोनों खामियों के प्रभावित संस्करणों की जानकारी अलग-अलग है। इसलिए सिर्फ बड़े संस्करण नंबर के आधार पर यह न मानें कि हर समस्या ठीक हो गई है; केस एडवाइजरी में अपने सटीक रिलीज़ और दोनों CVE की स्थिति जांचें। 15

सिर्फ सॉफ्टवेयर अपडेट नहीं, पहले से हुई सेंध के संकेत भी खोजें। उपलब्ध Zammad, ऑथेंटिकेशन, वेब-सर्वर और होस्ट लॉग में अनजान सेशन, zammad खाते से कोड चलने, अधिकार बढ़ाने, दूसरे सिस्टम से कनेक्शन या असामान्य डेटा ट्रांसफर के संकेत देखें। ये जांचें रिपोर्ट किए गए हमले की कड़ी पर आधारित हैं; उपलब्ध स्रोत फॉरेंसिक संकेतों की पूरी सूची नहीं देते। 1315

अगर रूट स्तर की पहुंच के संकेत मिलें, तो होस्ट और उससे उपलब्ध क्रेडेंशियल्स को संभावित रूप से प्रभावित मानें। संबंधित लॉग और रिकॉर्ड सुरक्षित रखें और सिस्टम को फिर से सेवा में लाने से पहले जांच करें। केवल अपडेट इंस्टॉल कर देना इस बात का प्रमाण नहीं है कि पहले हुई सेंध भी रुक गई है।