Zammadのゼロデイ2件を連鎖利用、DIVDのシステムが侵害される

オランダの脆弱性開示機関DIVDによると、攻撃者は同機関のヘルプデスクソフト「Zammad」に存在した、当時未公表の脆弱性2件を使ってシステムに侵入しました。セッションの乗っ取りからコード実行、root権限の取得まで、数秒で進んだとされています。DIVDは攻撃の手口からAIエージェントが関与した可能性を指摘していますが、攻撃者が誰なのか、また人間がどの程度操作・監督していたのかは、公表情報からは分かっていません。57

2つの脆弱性を使った侵入

最初の脆弱性「CVE-2026-102489」は、セッションの乗っ取りを可能にし、Zammadを動かすローカルユーザーzammadとして遠隔からコードを実行できるものでした。続く「CVE-2026-102490」は、そのユーザーからrootへ権限を昇格させる脆弱性です。DIVDによれば、攻撃者はroot権限を得た後、ほかのサービスにもアクセスし、データを持ち出せる状態になりました。518

DIVDの発表によると、最初の侵入は2026年9月21日。翌22日に不審な活動を検知し、データセンター基盤へのアクセスを遮断するとともに、インシデント対応企業Merlon Securityとフォレンジック調査を開始しました。9月24日に侵害を公表し、その後、インシデントの経緯と脆弱性に関する情報を別々のケースとして公開しています。71017

何が流出し、何が分かっていないのか

DIVDは、ボランティアのセキュリティ研究者のメールアドレスが露出したと報告しています。ほかの連絡先情報が含まれた可能性も報じられていますが、持ち出されたデータの全容や、DIVDのすべてのシステムが侵害されたかどうかは、公開情報では確認できません。58

DIVDが攻撃を「エージェント型」と説明しているのは、攻撃の挙動についての評価です。攻撃者や使用されたAIエージェント・サービスは特定されておらず、人間が個々の操作を承認していたのか、エージェントに目的だけを与えていたのかも明らかになっていません。「AIエージェントによる攻撃」という表現だけで、人間の関与なしに侵入が行われたと断定することはできません。57

Zammad管理者が確認すべきこと

更新前にログを保全する

インシデントに関する報道では、アップデートを適用する前にアプリケーションとネットワークのログをコピーしておくよう勧めています。9月21日以降の不審なセッション、zammadアカウントによる予期しない操作、権限昇格、外部への不審なデータ転送などを調べてください。これらは確認すべき調査項目であり、公開済みの完全な侵害指標一覧ではありません。更新しただけでは、それ以前に侵入されていなかったことの証明にはなりません。15

2件の脆弱性を個別に確認する

DIVDは、セッション乗っ取りからコード実行につながる脆弱性について、Zammad 6.3.0〜6.5.4を脆弱なバージョンとして挙げています。同じ脆弱なコードは7.0.0〜7.1.3にも存在しますが、DIVDが評価した環境条件では悪用できなかったとしています。18

ただし、バージョン7へ移行すれば問題がすべて解消するとは限りません。CVE-2026-102490は別個のローカル権限昇格の脆弱性で、zammadユーザーからrootへの昇格を可能にします。報道によれば、Zammad 7への更新だけではこの問題は解消されません。脆弱性ごとの修正状況を、ZammadとDIVDの最新勧告で確認してください。外部に公開しているインスタンスを速やかに安全にできない場合は、調査と対策が済むまで停止することも検討してください。118

root権限を取得された形跡があれば、ヘルプデスクアプリだけでなく、ホスト全体が侵害されたものとして調査してください。DIVDの公開情報では攻撃者がほかのサービスにもアクセスできたとされていますが、侵害指標の完全な一覧やデータ流出の全容は示されていません。51