AI ใช้ช่องโหว่ Zammad สองจุดเจาะ DIVD ได้อย่างไร

เมื่อวันที่ 21 กันยายน 2026 ผู้โจมตีเจาะระบบของสถาบัน Dutch Institute for Vulnerability Disclosure (DIVD) ผ่านระบบช่วยเหลือ Zammad ที่องค์กรใช้ภายใน DIVD ระบุว่าการบุกรุกเกี่ยวข้องกับ AI agent และช่องโหว่ที่ไม่เคยเปิดเผยมาก่อนสองรายการ เมื่อนำมาใช้ต่อเนื่องกัน ช่องโหว่หนึ่งเปิดทางให้ยึดเซสชันและรันโค้ดจากระยะไกล ส่วนอีกช่องโหว่ช่วยยกระดับสิทธิ์เป็น root โดยกระบวนการนี้เกิดขึ้นในเวลาเพียงไม่กี่วินาที 3917

รายงานระบุว่าผู้โจมตีเข้าถึงบริการอื่นและคัดลอกข้อมูลออกไปด้วย แต่ข้อมูลที่เปิดเผยยังไม่ระบุชัดว่ามีระบบหรือข้อมูลใดบ้างที่ได้รับผลกระทบ ส่วนชื่อ AI ที่ใช้และตัวตนของผู้ควบคุมก็ยังไม่เป็นที่ทราบ 11317

ช่องโหว่สองรายการเปิดทางให้เข้าควบคุมระบบอย่างไร

การโจมตีอาศัยช่องโหว่ใน Zammad ซึ่งเป็นแพลตฟอร์มช่วยเหลือและจัดการคำร้องแบบโอเพนซอร์สสองรายการที่เชื่อมต่อกันเป็นลำดับ:

1. CVE-2026-102489 เปิดทางให้ยึดเซสชันและรันโค้ดจากระยะไกลในฐานะผู้ใช้แอปพลิเคชัน zammad 315
2. CVE-2026-102490 เปิดทางให้ผู้ใช้ภายในระบบยกระดับสิทธิ์เป็น root เมื่อนำมาใช้ต่อจากช่องโหว่แรก ผู้โจมตีจึงขยับจากการเข้าถึงระบบช่วยเหลือไปสู่การควบคุมเครื่องที่โฮสต์ระบบนั้น 315
3. จากนั้นผู้โจมตีเข้าถึงบริการอื่นและคัดลอกข้อมูล DIVD เปิดเผยว่ามีการเข้าถึงบริการอื่นและนำข้อมูลออกไป แต่ข้อมูลที่รายงานยังไม่แสดงรายการระบบและข้อมูลทั้งหมดที่ได้รับผลกระทบ 113

DIVD อธิบายว่าเหตุการณ์นี้เป็นการโจมตีที่ขับเคลื่อนโดย AI agent และรายงานบางแห่งบรรยายพฤติกรรมว่าเปิดเผยให้สังเกตเห็นได้ชัดและไม่เป็นระเบียบ อย่างไรก็ตาม ข้อมูลเหล่านี้ยังไม่ยืนยันว่าใช้โมเดลหรือผู้ให้บริการรายใด agent ทำงานอย่างไรในรายละเอียด หรือใครเป็นผู้ควบคุม 217

DIVD ตรวจพบและรับมืออย่างไร

DIVD ระบุว่าองค์กรพบกิจกรรมที่น่าสงสัย ตรวจสอบเหตุการณ์ และสรุปว่าระบบถูกบุกรุก ในประกาศเมื่อวันที่ 24 กันยายน องค์กรแจ้งว่าได้ปิดกั้นการเข้าถึงโครงสร้างพื้นฐาน เข้าสู่กระบวนการรับมือเหตุการณ์ และเริ่มตรวจพิสูจน์หลักฐานโดยมีทีมภายนอกช่วยเหลือ 17

ต่อมาในวันที่ 30 กันยายน DIVD เปิดเผยว่าช่องโหว่ใน Zammad เป็นช่องทางเริ่มต้นของการบุกรุก พร้อมเผยแพร่หมายเลข CVE ทั้งสองรายการ ขณะที่การสอบสวนยังดำเนินต่อไป 41516

ข้อมูลที่เผยแพร่ยังไม่ได้ระบุว่าเหตุแจ้งเตือนใดเป็นสัญญาณแรกที่ทำให้พบการบุกรุก หรือทีมงานใช้ขั้นตอนควบคุมเหตุและตรวจพิสูจน์หลักฐานครบถ้วนอย่างไร 1617

ผู้ดูแล Zammad ควรตรวจอะไรบ้าง

ตรวจสอบรุ่นที่ติดตั้งเทียบกับประกาศของ DIVD ประกาศระบุว่า Zammad รุ่น 6.3.0–6.5.4 ได้รับผลกระทบจาก CVE-2026-102489 ส่วนรุ่น 7.0.0–7.1.3 ก็มีช่องโหว่นี้เช่นกัน แต่เงื่อนไขด้านสภาพแวดล้อมทำให้ไม่สามารถโจมตีได้ในรุ่นเหล่านั้น สำหรับ CVE-2026-102490 ประกาศระบุช่วงรุ่นตั้งแต่ 1.5.0 ถึง 7.1.0-alpha ดังนั้นการใช้งาน “เวอร์ชัน 7” อย่างเดียวไม่ได้ยืนยันว่าระบบปลอดจากช่องโหว่ทั้งสองรายการ 15

ตรวจแนวทางอัปเดตหรือบรรเทาความเสี่ยงจากคำแนะนำล่าสุดของ DIVD รายงานกรณีนี้ระบุว่ามีแพตช์แล้วและแนะนำให้อัปเกรดเป็น Zammad เวอร์ชัน 7 แต่รายละเอียดรุ่นที่ได้รับผลกระทบของช่องโหว่ทั้งสองไม่เหมือนกัน ควรตรวจประกาศตามรุ่นที่ใช้งานและ CVE แต่ละรายการ ไม่ควรถือว่าการอัปเกรดข้ามเวอร์ชันหลักเพียงอย่างเดียวเป็นหลักฐานว่าจัดการช่องโหว่ได้ครบแล้ว 15

ตรวจหาการบุกรุกที่อาจเกิดขึ้นก่อนหน้า ไม่ใช่แค่ติดตั้งแพตช์ ทบทวนบันทึกของ Zammad ระบบยืนยันตัวตน เว็บเซิร์ฟเวอร์ และเครื่องโฮสต์ เพื่อหาการใช้งานเซสชันที่ผิดปกติ การรันโค้ดในชื่อบัญชี zammad การยกระดับสิทธิ์ การเชื่อมต่อไปยังบริการอื่น หรือการถ่ายโอนข้อมูลที่น่าสงสัย รายการตรวจเหล่านี้อิงตามลำดับการโจมตีที่รายงาน แต่แหล่งข้อมูลไม่ได้ให้ตัวบ่งชี้การบุกรุกอย่างครบถ้วน 1315

หากพบหลักฐานว่าผู้โจมตีได้สิทธิ์ root ให้ถือว่าเครื่องและข้อมูลรับรองที่เครื่องนั้นเข้าถึงได้อาจถูกบุกรุกแล้ว เก็บรักษาบันทึกที่เกี่ยวข้องและตรวจสอบก่อนนำระบบกลับมาใช้งาน การติดตั้งอัปเดตเพียงอย่างเดียวไม่ได้ยืนยันว่าการบุกรุกก่อนหน้านั้นถูกควบคุมแล้ว