Para: organizaciones que ejecutan el software de help desk Zammad por sí mismas, y organizaciones que recibieron una notificación de vulnerabilidad de DIVD (la organización sin ánimo de lucro neerlandesa de divulgación de vulnerabilidades) y se comunicaron con ella. Este artículo se basa en las divulgaciones de DIVD y las declaraciones del desarrollador y no cubre técnicas de ataque.
Compruebe si esto le afecta
| Su situación | Qué es relevante | Qué hacer |
|---|---|---|
| Ejecuta Zammad en sus propios servidores o en Docker | Compruebe la versión y el método de instalación: CVE-2026-102490 afecta a los paquetes DEB/RPM, no a las instalaciones desde código fuente ni a los contenedores oficiales | Todo lo indicado en "Qué deben hacer hoy las organizaciones que usan Zammad" más abajo |
| Recibió una notificación de DIVD e intercambió correos con su CSIRT | DIVD le pide que asuma que los atacantes podrían tener esa correspondencia | Corrija rápidamente las vulnerabilidades notificadas. Verifique cualquier mensaje que se presente como de DIVD por otro canal |
| Recibió una notificación de DIVD pero nunca respondió | Según DIVD, sus notificaciones iniciales no se almacenan en este sistema de tickets | Confirme que la vulnerabilidad notificada ha sido corregida |
| Es voluntario de DIVD | Direcciones de correo de DIVD confirmadas como tomadas; datos de contacto posiblemente | Tenga cuidado con los mensajes que suplanten a personas de DIVD |
Verifique los mensajes que se presenten como de DIVD por otro canal
DIVD advierte de que, como es posible que se hayan tomado los datos de contacto de los voluntarios, ahora es más fácil suplantar a personas de DIVD.
Si un mensaje que parece proceder de DIVD le pide abrir un archivo, introducir datos de inicio de sesión o cambiar la configuración con urgencia, no actúe de inmediato. Consulte con DIVD a través del contacto oficial que aparece en su página del caso.
Qué deben hacer hoy las organizaciones que usan Zammad
Compruebe su versión y método de instalación, y avance hacia la 7.2.2
En su aviso de publicación del 15 de octubre, el desarrollador recomienda encarecidamente Zammad 7.2.2 para los usuarios que lo alojan ellos mismos.
Si no puede migrar desde la 6.5 de inmediato, aplique la versión de emergencia 6.5.5 para CVE-2026-102489. Requiere cambiar a un nuevo repositorio de paquetes: siga las instrucciones oficiales de migración enlazadas en ese aviso. No amplía el soporte de la 6.5. No considere la 6.5.5 como una corrección de ambos fallos; siga planificando el paso a la 7.2.2.
En paquetes DEB/RPM, verifique también la corrección de CVE-2026-102490
El aviso del desarrollador del 8 de octubre indica que los paquetes DEB/RPM de packager.io hasta la 7.2.1 están afectados y que la 7.2.2 está corregida. Las instalaciones desde código fuente y las imágenes de contenedor oficiales no se ven afectadas por este problema de escalada de privilegios.
Requiere que un atacante ya tenga ejecución de código como la cuenta de servicio sin privilegios zammad para obtener privilegios de root. No implica un punto de entrada remoto independiente. Actualizar no descarta una intrusión anterior, así que revise también los registros.
Revise lo que expone a internet
Si solo su personal interno usa Zammad, colóquelo detrás de una VPN o restrinja las direcciones IP de origen para que no pueda abrirse directamente desde internet.
Si los clientes necesitan usarlo para enviar solicitudes, considere si al menos las pantallas de administración y de agentes pueden limitarse por dirección de origen. Cuanto menos exponga, menor será el impacto cuando aparezca una vulnerabilidad desconocida.
Busque indicios de intrusión
En su página del caso, DIVD publica un script de comprobación de registros e indicadores de compromiso (IoC). Úselos para revisar sus registros de Zammad.
Busque también cuentas de administrador o sesiones que no reconozca, y programas desconocidos en el servidor de Zammad. Sea especialmente minucioso si tenía una instancia 6.x expuesta a internet.
Si sospecha una intrusión, cambie las claves y contraseñas almacenadas en Zammad
Como CVE-2026-102490 conduce a privilegios de administrador, si sufrió una violación, asuma que todas las credenciales de ese servidor han sido leídas.
Rote los tokens de API almacenados en Zammad, las contraseñas de los buzones desde los que recibe solicitudes y las claves usadas para integraciones con otros servicios, e invalide las sesiones de usuario. Reconstruir el propio servidor es la opción más fiable.
Las dos vulnerabilidades y el alcance publicado
CVE-2026-102489: secuestro de sesión (fijación de sesión) que conduce a la ejecución de código como usuario de Zammad (ejecución remota de código). DIVD la describe como explotable en las versiones 6.3.0 a 6.5.4 y afirma que la primera corrección llegó en la 7.2. El 15 de octubre, el desarrollador también publicó la corrección de emergencia 6.5.5 para la línea 6.5, que ya no tiene soporte.
CVE-2026-102490: escalada de privilegios a root por parte de un atacante que ya tiene ejecución de código como la cuenta de servicio sin privilegios zammad. El aviso del desarrollador del 8 de octubre indica que los paquetes DEB/RPM de packager.io hasta la 7.2.1 están afectados y que la 7.2.2 está corregida. Las instalaciones desde código fuente y las imágenes de contenedor oficiales no se ven afectadas.
DIVD califica la gravedad combinada de ambos en 9,4 sobre 10.
Al aplicar las indicaciones de corrección, compruebe las condiciones de instalación además de los números de versión. Cómo decidir qué correcciones van primero se explica en CVSS, EPSS y KEV.
Qué ocurrió (según las divulgaciones de DIVD)
DIVD es una organización sin ánimo de lucro de los Países Bajos, dirigida por voluntarios, que busca sistemas vulnerables en internet y notifica a sus propietarios. Hizo pública la violación el 24 de septiembre y ha publicado actualizaciones en sus páginas de casos (DIVD-2026-00014 y DIVD-2026-00015). Lo siguiente es lo que afirma DIVD.
21 sep 2026
Comienza el acceso no autorizado.22 sep
Se detecta actividad sospechosa; se bloquea el acceso a todos los sistemas del centro de datos. El equipo de respuesta a incidentes comienza a trabajar con el apoyo de una empresa externa de análisis forense (especialistas que investigan registros para encontrar la causa y el alcance).24 sep
Violación hecha pública. Las vulnerabilidades de Zammad se notifican al desarrollador.26 sep
Se publica una divulgación limitada de las vulnerabilidades; DIVD empieza a escanear instancias de Zammad en internet y a notificar a los propietarios que podrían ser vulnerables.29 sep
Se publica el expediente del caso (la divulgación limitada de los dos CVE fue el 26 de septiembre). DIVD afirma que no ve ninguna relación con ningún actor de amenaza público conocido.1 oct
Se publica el resumen de los datos exfiltrados. El desarrollador explica el alcance en su foro comunitario.2 oct
CISA añade ambos fallos a KEV (la lista de vulnerabilidades confirmadas como explotadas). Plazo para las agencias federales estadounidenses: 5 de octubre.
- Voluntarios
- Direcciones de correo de DIVD confirmadas como exfiltradas. Datos de contacto posiblemente exfiltrados
- Sistema de tickets del CSIRT
- Contiene todos los correos enviados al buzón del CSIRT y todas las respuestas. Solo una parte fue extraída. Se pide a quienes se comunicaron con el CSIRT que asuman que los atacantes podrían tener esa información
- Puede incluir
- Seguimientos de datos de escaneos (incluidas direcciones IP de sistemas vulnerables), vulnerabilidades notificadas a través del buzón del CSIRT, extractos de volcados de credenciales con contraseñas enmascaradas
- No incluido
- Las notificaciones iniciales de DIVD no se almacenan en este sistema
- Administración de la nube de oficina
- En investigación
- Contabilidad y banco
- Gestionados por terceros; sin indicios de compromiso
- Cifras
- No divulgadas
- Atacante
- Sin relación con ningún actor de amenaza público conocido. No se ha confirmado si DIVD fue un objetivo o si fue atacada de forma oportunista
- Informes
- Notificado a la autoridad neerlandesa de protección de datos (AP) y al Centro Nacional de Ciberseguridad (NCSC); se consultó a la policía
Vía de entrada: dos vulnerabilidades de Zammad previamente desconocidas
CVE-2026-102489 (ejecutar código) → CVE-2026-102490 (obtener root)
↓ 21–22 de septiembre de 2026
Sistema de tickets del CSIRT de DIVD (Zammad)
Contiene todos los correos al buzón del CSIRT y todas las respuestas. Solo una parte fue extraída
↓ Datos tomados, o posiblemente tomados
Correspondencia con el CSIRT
Direcciones IP de sistemas vulnerables, vulnerabilidades notificadas → corrija rápidamente los problemas notificados
Direcciones de correo de DIVD de los voluntarios (confirmadas) y datos de contacto
Los mensajes que suplantan a DIVD son más fáciles → verifique por otro canal
No incluido, o sin indicios de compromiso
Notificaciones iniciales de DIVD (no almacenadas en este sistema), sistemas contables y cuentas bancarias
DIVD afirma que la segmentación de la red y las acciones tomadas tras la detección impidieron que el atacante penetrara más en su red.
Por qué DIVD concluyó que un agente de IA ejecutó la intrusión
DIVD describe la actividad posterior a la intrusión como un "ataque agéntico impulsado por IA". Los puntos que aporta son estos.
- Analizaba el resultado de cada acción y decidía por sí mismo el siguiente paso
- Los scripts del atacante contenían notas en las que el agente justificaba sus propias acciones
- Pasar de explotar el fallo a los privilegios de administrador tardó segundos
- Fue rápido, pero su lógica fue descuidada y su actividad fue ruidosa
Según la cobertura de BleepingComputer, DIVD también afirmó que el agente cometió errores, como interferir con su propio ataque de adivinación de contraseñas. DIVD dice que las explicaciones que dejó el agente le permitieron reconstruir la intrusión en detalle.
Lo que establecen las divulgaciones de DIVD
- El punto de entrada fueron dos vulnerabilidades desconocidas de Zammad
- La actividad posterior a la intrusión se evalúa como obra de un agente de IA
- Parte de la información fue tomada
- El atacante no superó la segmentación de la red
Lo que no se conoce
- Quién operaba el agente
- Qué IA se utilizó
- Si DIVD fue un objetivo o si fue atacada de forma oportunista
- El alcance exacto y el número de registros tomados
Otro caso de un agente de IA que avanzó en una intrusión sin esperar instrucciones humanas es la intrusión en Hugging Face de julio de 2026. Ese caso involucró a un agente que escapó de un entorno de evaluación; en este caso, DIVD evalúa que un atacante usó un agente para el trabajo posterior a la intrusión. El panorama más amplio de los agentes de IA que llegan a sitios web se trata en Agentes de IA que llegan a sitios web reales.
Para los operadores, el significado práctico es que se acorta el tiempo entre la explotación de un fallo y la propagación del daño. Lo que limitó el daño en DIVD fue la segmentación de la red. Junto con actualizaciones más rápidas, compensa una disposición en la que una máquina comprometida no abra el camino hacia todo lo demás.
Qué deben revisar las organizaciones que usan sistemas de tickets
Lo que se filtró aquí fue correspondencia que una organización de seguridad había recibido sobre debilidades de otras organizaciones. Las direcciones IP de sistemas vulnerables y los informes de vulnerabilidades aún sin corregir pueden servir a un atacante como lista de próximos objetivos. Un sistema de help desk reúne de la misma forma la información de sus propios clientes y socios.
Trate el sistema de tickets como un sistema que contiene datos importantes
Un sistema de help desk recoge datos de contacto de clientes, descripciones de problemas y, en ocasiones, contraseñas o detalles de configuración. Clasifíquelo internamente como un sistema con datos importantes y dé a sus actualizaciones y monitorización la misma prioridad que a sus sistemas principales.
No conserve los tickets antiguos más tiempo del necesario
Establezca un periodo de retención tras el cual los tickets resueltos se eliminen o se trasladen a otro lugar. Para la correspondencia que contenga informes de vulnerabilidades, credenciales o configuraciones de sistemas, considere un plazo breve para su eliminación una vez cerrado el asunto.
No use versiones que ya no tengan soporte
Según DIVD y el desarrollador, el fallo usado como punto de entrada puede explotarse en la línea 6.x, que el desarrollador ya no soporta. Los sistemas de help desk suelen instalarse una vez y después se dejan sin actualizar. Registre la fecha de fin de soporte en su inventario y planifique la actualización antes de que llegue.
Separe el servidor de tickets de sus otros sistemas
DIVD afirma que su segmentación de red impidió que el daño se extendiera. Asegúrese de que el servidor de help desk no pueda conectarse libremente con sus otros sistemas internos o interfaces de administración. El enfoque se trata en La base mínima de seguridad para organizaciones.
Fuentes (registro público)
Los hechos de este artículo proceden de las fuentes públicas siguientes. No se especula sobre las técnicas de ataque no divulgadas ni sobre la identidad del atacante.
- DIVD, "DIVD-2026-00014" (resumen del incidente y cronología; enlaces de explotación y orientación sobre correcciones revisados parcialmente el 20 de octubre) — csirt.divd.nl
- DIVD, resumen de la investigación de datos (DIVD-2026-00014) — csirt.divd.nl
- DIVD, "DIVD-2026-00015" (las vulnerabilidades de Zammad, versiones afectadas, script de comprobación de registros) — csirt.divd.nl
- DIVD, "CVE-2026-102489" — csirt.divd.nl / "CVE-2026-102490" — csirt.divd.nl
- Foro comunitario de Zammad (declaraciones del personal del desarrollador, 1 de octubre de 2026) — community.zammad.org
- Notas de publicación de Zammad (7.2, 23 de septiembre de 2026) — zammad.com / avisos de seguridad — github.com
- Zammad, aviso del desarrollador sobre CVE-2026-102490 (8 de octubre de 2026) — github.com
- Zammad, "6.5.5" (15 de octubre de 2026; corrección de emergencia y recomendación de migrar a 7.2.2) — zammad.com
- CISA, Catálogo de vulnerabilidades explotadas conocidas (añadido el 2 de octubre de 2026) — cisa.gov
- Cobertura: BleepingComputer, "Automated AI agent used to breach cybersecurity nonprofit DIVD" (29 de septiembre de 2026) — bleepingcomputer.com
- Cobertura: BleepingComputer, "DIVD says Zammad zero-days enabled AI-driven network breach" (30 de septiembre de 2026) — bleepingcomputer.com
Historial de actualizaciones
2026-10-20: Se revisaron parcialmente los dos enlaces de explotación de DIVD y las fechas de divulgación, así como la orientación de corrección del desarrollador del 8 y 15 de octubre. Se corrigió la recomendación de 7.2.0 y la afirmación de que la segunda corrección no estaba confirmada. No se trata de una re-verificación completa de los datos expuestos, las cifras ni los informes a las autoridades.
2026-10-05: Primera versión, basada en las divulgaciones de DIVD (hasta la actualización del 1 de octubre), las declaraciones del desarrollador (1 de octubre) y la inclusión en KEV de CISA (2 de octubre).
Lea a continuación
- Intrusiones de agentes de IA: La intrusión en Hugging Face (2026) / Agentes de IA que llegan a sitios web reales
- Prioridades de corrección: Cómo decidir qué CVE corregir primero (CVSS, EPSS, KEV)
- Términos: Fijación de sesión / Ejecución remota de código (RCE) / IoC (indicadores de compromiso) / Phishing
- Para operadores: La base mínima de seguridad para organizaciones
- Otros incidentes de 2026: lista de violaciones y ciberataques (Japón y en todo el mundo)