ช่องโหว่ Zammad สองจุดเปิดทางสู่สิทธิ์รูตในการเจาะระบบ DIVD

สถาบัน Dutch Institute for Vulnerability Disclosure (DIVD) ระบุว่าผู้โจมตีเจาะระบบขององค์กรเมื่อวันที่ 21 กันยายน 2026 ผ่านช่องโหว่ที่ยังไม่เคยเปิดเผยสองจุดใน Zammad ซึ่งเป็นซอฟต์แวร์ระบบช่วยเหลือและรับเรื่องสนับสนุน ลำดับการโจมตีเริ่มจากการยึดเซสชัน ก่อนรันโค้ดและยกระดับสิทธิ์เป็น root ได้ภายในไม่กี่วินาที57

DIVD ประเมินว่ารูปแบบการโจมตีบ่งชี้ถึงการใช้ AI agent หรือระบบ AI ที่ทำงานเป็นตัวแทน แต่ข้อมูลสาธารณะยังไม่ระบุว่าใครอยู่เบื้องหลัง หรือมีมนุษย์กำกับการทำงานของ AI อย่างใกล้ชิดเพียงใด57

การโจมตีเกิดขึ้นอย่างไร

ช่องโหว่แรกคือ CVE-2026-102489 ซึ่งเปิดทางให้ผู้โจมตียึดเซสชันและรันโค้ดจากระยะไกลในสิทธิ์ของผู้ใช้ระบบ zammad ส่วนช่องโหว่ที่สอง CVE-2026-102490 ทำให้ผู้ใช้ zammad ยกระดับสิทธิ์เป็น root บนเครื่องที่รันระบบช่วยเหลือได้ จากนั้นผู้โจมตีอาจเข้าถึงบริการอื่นและนำข้อมูลออกไปได้518

ตามลำดับเหตุการณ์ของ DIVD ผู้โจมตีเข้าถึงระบบครั้งแรกเมื่อ 21 กันยายน องค์กรตรวจพบกิจกรรมน่าสงสัยในวันรุ่งขึ้น ก่อนปิดกั้นการเข้าถึงโครงสร้างพื้นฐานในศูนย์ข้อมูลและเริ่มตรวจสอบทางนิติวิทยาศาสตร์ดิจิทัลร่วมกับ Merlon Security ซึ่งเป็นบริษัทรับมือเหตุการณ์ไซเบอร์ DIVD เปิดเผยเหตุเจาะระบบต่อสาธารณะเมื่อ 24 กันยายน และต่อมาเผยแพร่รายละเอียดแยกเป็นกรณีเหตุการณ์และกรณีช่องโหว่71017

ข้อมูลใดถูกเปิดเผย และอะไรยังไม่ชัดเจน

DIVD รายงานว่าอีเมลของนักวิจัยด้านความปลอดภัยที่เป็นอาสาสมัครถูกเปิดเผย รายงานข่าวบางแห่งกล่าวถึงความเป็นไปได้ที่ข้อมูลติดต่ออื่นอาจได้รับผลกระทบด้วย แต่ข้อมูลที่เปิดเผยต่อสาธารณะยังไม่ยืนยันปริมาณหรือประเภทข้อมูลทั้งหมดที่ถูกนำออกไป และไม่ได้ยืนยันว่าระบบทุกส่วนของ DIVD ถูกเจาะ58

คำว่า “agentic” ที่ DIVD ใช้อธิบายการโจมตีสะท้อนการประเมินรูปแบบพฤติกรรมของผู้โจมตี ไม่ใช่หลักฐานว่าระบบทำงานโดยไม่มีมนุษย์เกี่ยวข้อง ขณะนี้ยังไม่มีการเปิดเผยตัวตนผู้โจมตี หรือระบุว่าใช้ AI agent หรือบริการใด รวมถึงยังไม่ทราบว่ามนุษย์อนุมัติแต่ละการกระทำ หรือเพียงกำหนดเป้าหมายให้ AI ทำงาน57

ผู้ดูแล Zammad ควรทำอะไร

เก็บหลักฐานก่อนติดตั้งอัปเดต

สำรองบันทึกการใช้งานของแอปพลิเคชันและเครือข่ายก่อนติดตั้งอัปเดตตามคำแนะนำที่มีการรายงานเกี่ยวกับเหตุการณ์นี้ จากนั้นตรวจสอบกิจกรรมตั้งแต่วันที่ 21 กันยายนเป็นต้นไป เช่น เซสชันที่ผิดปกติ การทำงานที่ไม่คาดคิดภายใต้บัญชี zammad การยกระดับสิทธิ์ และการส่งข้อมูลออกที่น่าสงสัย15

ประเด็นเหล่านี้เป็นแนวทางสำหรับการตรวจสอบ ไม่ใช่รายการตัวบ่งชี้การถูกเจาะระบบที่ครบถ้วน การอัปเดตซอฟต์แวร์เพียงอย่างเดียวก็ไม่สามารถยืนยันได้ว่าระบบไม่เคยถูกเข้าถึงมาก่อน15

ตรวจสอบช่องโหว่ทั้งสองและรุ่นที่ใช้อยู่

DIVD ระบุว่า Zammad รุ่น 6.3.0–6.5.4 เสี่ยงต่อช่องโหว่ยึดเซสชันและรันโค้ด ส่วนโค้ดที่มีช่องโหว่เดียวกันยังอยู่ในรุ่น 7.0.0–7.1.3 แต่ DIVD ระบุว่าไม่สามารถใช้โจมตีรุ่นเหล่านั้นได้ภายใต้เงื่อนไขแวดล้อมที่ประเมินไว้18

อย่าคิดว่าการอัปเกรดเป็นรุ่น 7 จะปิดความเสี่ยงทั้งหมด เพราะ CVE-2026-102490 เป็นช่องโหว่ยกระดับสิทธิ์ในเครื่องอีกจุดหนึ่ง ซึ่งกระทบบัญชี zammad และการอัปเกรดรุ่น 7 เพียงอย่างเดียวไม่ได้แก้ช่องโหว่นี้ ควรตรวจสอบประกาศล่าสุดจาก Zammad และ DIVD เพื่อยืนยันสถานะการแก้ไขของแต่ละช่องโหว่ หากยังป้องกันระบบที่เปิดให้เข้าถึงจากภายนอกไม่ได้ ให้ปิดระบบชั่วคราวระหว่างตรวจสอบและแก้ไข118

หากพบหลักฐานว่าผู้โจมตีได้สิทธิ์ root ให้ถือว่าเครื่องนั้นถูกเจาะแล้ว และตรวจสอบให้ครอบคลุมมากกว่าแอปพลิเคชัน helpdesk เพราะ DIVD ระบุว่าผู้โจมตีอาจเข้าถึงบริการอื่นได้ ขณะที่รายงานสาธารณะยังไม่มีรายการตัวบ่งชี้การถูกเจาะที่ครบถ้วนหรือข้อสรุปเกี่ยวกับขอบเขตข้อมูลที่ถูกนำออกไป51