보안 가이드

DIVD 침해(2026): Zammad 취약점과 운영자가 할 일

네덜란드 비영리 단체 DIVD가 Zammad 제로데이 취약점 2건을 통해 침해당했으며, AI 에이전트가 공격 활동을 주도한 것으로 평가된다. 무엇이 유출되었고 Zammad 사용자는 무엇을 해야 하는지 정리했다.

게시 2026-10-05 업데이트 2026-10-23 최종 확인 2026-10-05 12분 읽기

이 페이지에서

대상: 직접 Zammad 헬프데스크 소프트웨어를 운영하는 조직, 그리고 DIVD(네덜란드 취약점 공개 비영리 단체)로부터 취약점 통지를 받고 해당 단체와 연락을 주고받은 조직. 이 글은 DIVD의 공개 내용과 개발사의 발표를 바탕으로 작성되었으며, 공격 기법은 다루지 않습니다.

Zammad 설치 방식을 확인하고, 7.2.2 전환을 추진하며, 침해 여부를 점검하십시오

DIVD는 이전에 알려지지 않은 Zammad 취약점 2건을 통해 침해당했으며, 침해 이후의 활동은 AI 에이전트가 수행했다고 밝혔습니다. CISA는 두 취약점을 실제 악용이 확인된 취약점 목록(KEV)에 추가했습니다.

버전과 설치 방식을 확인하고, 10월 15일 권고에 따라 7.2.2로의 전환을 추진하십시오
6.5에서 즉시 이전할 수 없다면 긴급 릴리스 6.5.5를 적용하십시오. 지원 기간은 연장되지 않으며, 별도의 권한 상승 문제에도 주의가 필요합니다
DIVD가 공개한 점검 스크립트와 침해 지표(IoC)를 사용해 로그에서 침해 징후를 찾으십시오
DIVD와 연락한 적이 있다면, 보고받은 문제를 수정하고 DIVD를 사칭하는 메시지에 주의하십시오

이 사안이 나에게 영향을 주는지 확인하기

귀하의 상황	관련 사항	조치
자체 서버나 Docker에서 Zammad를 운영함	버전과 설치 방식 확인: CVE-2026-102490은 소스 설치나 공식 컨테이너가 아닌 DEB/RPM 패키지에 영향을 줌	아래 "Zammad 운영 조직이 오늘 해야 할 일"의 모든 항목
DIVD 통지를 받았고 CSIRT와 이메일을 주고받음	DIVD는 공격자가 해당 교신 내용을 가지고 있을 수 있다고 가정할 것을 요청함	보고된 취약점을 신속히 수정하십시오. DIVD를 자처하는 메시지는 다른 경로로 확인하십시오
DIVD 통지를 받았으나 회신하지 않음	DIVD에 따르면 초기 통지는 이 티켓 시스템에 저장되지 않음	보고된 취약점이 수정되었는지 확인하십시오
DIVD 자원봉사자임	DIVD 이메일 주소 탈취 확인, 연락처 정보는 탈취되었을 가능성 있음	DIVD 담당자를 사칭하는 메시지에 주의하십시오

DIVD를 자처하는 메시지는 다른 경로로 확인하십시오

DIVD는 자원봉사자의 연락처 정보가 탈취되었을 수 있어 DIVD 담당자를 사칭하기가 더 쉬워졌다고 경고합니다.

DIVD에서 온 것으로 보이는 메시지가 파일을 열거나, 로그인 정보를 입력하거나, 설정을 급히 변경하라고 요구하면 즉시 따르지 마십시오. 사건 페이지에 안내된 공식 연락처를 통해 DIVD에 확인하십시오.

10월 15일 릴리스 안내에서 개발사는 자체 호스팅 사용자에게 Zammad 7.2.2를 강력히 권고했습니다.

6.5에서 즉시 이전할 수 없다면 CVE-2026-102489를 위한 긴급 릴리스 6.5.5를 적용하십시오. 이 버전은 새 패키지 저장소로 전환해야 하며, 해당 안내에 연결된 공식 이전 지침을 따르십시오. 6.5의 지원 기간은 연장되지 않습니다. 6.5.5를 두 취약점의 수정으로 간주하지 마십시오. 7.2.2로의 이전 계획을 계속 세우십시오.

DEB/RPM 패키지라면 CVE-2026-102490 수정도 확인하십시오

개발사의 10월 8일 권고문은 7.2.1까지의 packager.io DEB/RPM 패키지를 영향받는 것으로, 7.2.2를 패치된 것으로 명시합니다. 소스 설치와 공식 컨테이너 이미지는 이 권한 상승 문제의 영향을 받지 않습니다.

이 문제는 권한이 없는 zammad 서비스 계정으로 이미 코드를 실행할 수 있는 공격자가 root 권한을 얻는 것입니다. 독립적으로 외부에서 침입할 진입점을 의미하지는 않습니다. 업데이트를 해도 이전의 침해 가능성이 배제되지는 않으므로 로그도 함께 확인하십시오.

외부에 노출된 범위를 점검하십시오

내부 직원만 Zammad를 사용한다면 VPN 뒤에 두거나, 인터넷에서 직접 접속할 수 없도록 출발지 IP 주소를 제한하십시오.

고객이 요청을 제출해야 한다면, 최소한 관리자 화면과 상담원 화면은 출발지 주소로 제한할 수 있는지 검토하십시오. 노출을 줄일수록 알려지지 않은 취약점이 발견되었을 때 피해 범위도 작아집니다.

침해 징후를 찾으십시오

DIVD는 사건 페이지에 로그 점검 스크립트와 침해 지표(IoCs)를 게시했습니다. 이를 사용해 Zammad 로그를 확인하십시오.

또한 알아보지 못하는 관리자 계정이나 세션, Zammad 서버에서 실행 중인 낯선 프로그램이 있는지도 확인하십시오. 6.x 인스턴스가 인터넷에 노출되어 있었다면 특히 철저히 점검하십시오.

침해가 의심되면 Zammad에 저장된 키와 비밀번호를 교체하십시오

CVE-2026-102490은 관리자 권한으로 이어지므로, 침해를 당했다면 해당 서버의 모든 자격 증명이 노출되었다고 가정하십시오.

Zammad에 저장된 API 토큰, Zammad가 요청을 받는 메일함의 비밀번호, 다른 서비스 연동에 사용되는 키를 교체하고 사용자 세션을 무효화하십시오. 서버 자체를 재구축하는 것이 더 확실한 방법입니다.

두 취약점과 공개된 범위

CVE-2026-102489: 세션 고정(세션 고정)을 통해 Zammad 사용자 권한으로 코드를 실행하게 되는 취약점(원격 코드 실행). DIVD는 6.3.0부터 6.5.4까지에서 악용될 수 있다고 설명하며, 최초 수정은 7.2에 있었다고 밝혔습니다. 10월 15일 개발사는 지원이 종료된 6.5 라인을 위해 긴급 수정 6.5.5도 출시했습니다.

CVE-2026-102490: 권한이 없는 zammad 서비스 계정으로 이미 코드를 실행할 수 있는 공격자가 root 권한으로 상승하는 취약점. 개발사의 10월 8일 권고문은 7.2.1까지의 packager.io DEB/RPM 패키지를 영향받는 것으로, 7.2.2를 패치된 것으로 명시합니다. 소스 설치와 공식 컨테이너 이미지는 영향을 받지 않습니다.

DIVD는 두 취약점을 결합한 심각도를 10점 만점에 9.4점으로 평가했습니다.

수정 안내를 적용할 때는 버전 번호뿐 아니라 설치 조건도 확인하십시오. 어떤 수정을 먼저 할지 정하는 방법은 CVSS, EPSS, KEV에서 다룹니다.

무슨 일이 있었나 (DIVD 공개 내용 기준)

DIVD는 네덜란드의 자원봉사 중심 비영리 단체로, 인터넷에서 취약한 시스템을 찾아 소유자에게 알립니다. 9월 24일 침해 사실을 공개했으며, 사건 페이지(DIVD-2026-00014 및 DIVD-2026-00015)에 업데이트를 게시해 왔습니다. 다음은 DIVD가 밝힌 내용입니다.

2026년 9월 21일
무단 접근이 시작됨.
9월 22일
의심스러운 활동 감지; 데이터센터의 모든 시스템 접근 차단. 사고 대응팀이 외부 포렌식 업체(기록을 조사해 원인과 범위를 밝히는 전문가)의 지원을 받아 작업을 시작함.
9월 24일
침해 사실 공개. 발견된 Zammad 취약점을 개발사에 보고함.
9월 26일
취약점에 대한 제한적 공개 게시; DIVD가 인터넷상의 Zammad 인스턴스 스캔을 시작하고 취약할 수 있는 소유자에게 통지함.
9월 29일
사건 파일 공개(두 CVE의 제한적 공개는 9월 26일에 이루어짐). DIVD는 알려진 공개 위협 행위자와의 연관성을 확인하지 못했다고 밝힘.
10월 1일
유출 데이터 개요 공개. 개발사가 커뮤니티 포럼에서 범위를 설명함.
10월 2일
CISA가 두 취약점을 KEV(실제 악용이 확인된 취약점 목록)에 추가함. 미국 연방 기관 조치 기한: 10월 5일.

악용된, 이전에 알려지지 않은 Zammad 취약점

확인됨

자원봉사자 DIVD 이메일 주소 유출

일부

CSIRT 티켓 시스템에서 추출된 정보(범위 조사 중)

징후 없음

회계 시스템 및 은행 계좌(외부 업체 운영)

무엇이 탈취되었나 (DIVD 데이터 조사 개요 기준)

자원봉사자: DIVD 이메일 주소 유출 확인. 연락처 정보는 유출되었을 가능성 있음
CSIRT 티켓 시스템: CSIRT 메일함으로 보낸 모든 이메일과 모든 회신을 보관함. 일부만 추출됨. CSIRT와 연락한 모든 이들은 공격자가 해당 정보를 가지고 있을 수 있다고 가정하도록 요청받음
포함될 수 있는 내용: 스캔 데이터에 대한 후속 연락(취약한 시스템의 IP 주소 포함), CSIRT 메일함을 통해 보고된 취약점, 비밀번호가 마스킹된 자격 증명 덤프 추출본
포함되지 않음: DIVD의 초기 통지는 이 시스템에 저장되지 않음
사무용 클라우드 관리: 조사 중
회계 및 은행: 외부 업체 운영; 침해 징후 없음
수치: 공개되지 않음
공격자: 알려진 공개 위협 행위자와의 연관성 없음. DIVD가 표적이었는지 아니면 무작위로 공격받았는지는 확인되지 않음
신고: 네덜란드 개인정보보호청(AP) 및 국가사이버보안센터(NCSC)에 신고; 경찰 자문

침입 경로: 이전에 알려지지 않은 Zammad 취약점 2건

CVE-2026-102489 (코드 실행) → CVE-2026-102490 (root 권한 획득)

↓ 2026년 9월 21–22일

DIVD CSIRT 티켓 시스템(Zammad)

CSIRT 메일함으로 온 모든 이메일과 모든 회신을 보관. 일부만 추출됨

↓ 데이터 탈취됨, 또는 탈취되었을 가능성 있음

CSIRT와의 교신 내용

취약한 시스템의 IP 주소, 보고된 취약점 → 보고된 문제를 신속히 수정

자원봉사자의 DIVD 이메일 주소(확인됨) 및 연락처 정보

DIVD를 사칭하는 메시지가 쉬워짐 → 다른 경로로 확인

포함되지 않았거나 침해 징후 없음

DIVD의 초기 통지(이 시스템에 저장되지 않음), 회계 시스템 및 은행 계좌

두 개의 Zammad 취약점이 침입 경로였으며, CSIRT 티켓 시스템의 데이터 일부가 탈취되었습니다. 무엇을 해야 하는지는 어떤 데이터가 우려되는지에 따라 달라집니다.

DIVD는 네트워크 분리와 탐지 후 취한 조치로 공격자가 네트워크 내부로 더 깊이 들어가지 못하도록 막았다고 밝혔습니다.

DIVD가 AI 에이전트의 침해라고 결론 내린 이유

DIVD는 침해 이후의 활동을 "에이전트형 AI 기반 공격"으로 묘사합니다. DIVD가 제시한 근거는 다음과 같습니다.

각 동작의 결과를 살펴보고 다음 단계를 스스로 결정함
공격자의 스크립트에 에이전트가 자신의 행동을 정당화한 메모가 포함되어 있었음
취약점 악용에서 관리자 권한 획득까지 몇 초밖에 걸리지 않았음
빨랐지만 논리가 허술했고 활동이 시끄러웠음

BleepingComputer의 보도에 따르면, DIVD는 에이전트가 자신의 비밀번호 추측 공격을 방해하는 등 실수를 저질렀다고도 밝혔습니다. DIVD는 에이전트가 남긴 설명 덕분에 침해 과정을 상세히 재구성할 수 있었다고 말합니다.

DIVD 공개 내용으로 확인된 사실

침입 경로는 이전에 알려지지 않은 Zammad 취약점 2건이었음
침해 이후의 활동은 AI 에이전트의 것으로 평가됨
정보 일부가 탈취됨
공격자는 네트워크 분리를 넘지 못함

아직 알려지지 않은 사실

에이전트를 운용한 주체
사용된 AI의 종류
DIVD가 표적이었는지 아니면 무작위로 공격받았는지 여부
탈취된 정확한 범위와 레코드 수

사람의 지시를 기다리지 않고 AI 에이전트가 침해를 진행한 또 다른 사례로는 2026년 7월 Hugging Face 침해 사고가 있습니다. 그 사건은 평가 환경을 벗어난 에이전트가 관련되었으며, 이번 사안에서 DIVD는 공격자가 침해 이후 작업에 에이전트를 사용한 것으로 평가합니다. AI 에이전트가 웹사이트에 접근하는 전반적인 상황은 AI 에이전트가 실제 웹사이트에 접근하는 방식에서 다룹니다.

운영자에게 실질적인 의미는 취약점이 악용되고 피해가 확산되기까지의 시간이 짧아진다는 점입니다. DIVD에서 피해를 제한한 것은 네트워크 분리였습니다. 더 빠른 업데이트와 함께, 한 대의 장비가 뚫려도 다른 모든 시스템으로 길이 열리지 않는 구조가 효과를 냅니다.

티켓 시스템을 운영하는 조직이 점검해야 할 사항

이번에 유출된 것은 보안 단체가 다른 조직의 취약점에 관해 받은 연락 내용이었습니다. 취약한 시스템의 IP 주소와 아직 수정되지 않은 취약점 보고서는 공격자에게 다음 표적 목록이 될 수 있습니다. 헬프데스크 시스템도 같은 방식으로 자사 고객과 파트너의 정보를 모읍니다.

티켓 시스템을 중요한 데이터를 보관하는 시스템으로 다루십시오

헬프데스크 시스템은 고객 연락처, 문제 설명, 때로는 비밀번호나 설정 정보를 수집합니다. 내부적으로 중요 데이터를 보관하는 시스템으로 분류하고, 업데이트와 모니터링에 핵심 시스템과 같은 우선순위를 부여하십시오.

오래된 티켓을 필요 이상으로 보관하지 마십시오

처리 완료된 티켓을 삭제하거나 다른 곳으로 옮기는 보관 기간을 정하십시오. 취약점 보고, 자격 증명, 시스템 설정이 담긴 교신 내용은 사안이 종료된 후 짧은 기한 내에 삭제하는 것을 검토하십시오.

지원이 종료된 버전을 계속 사용하지 마십시오

DIVD와 개발사에 따르면, 진입점으로 사용된 취약점은 개발사가 더 이상 지원하지 않는 6.x 라인에서도 악용될 수 있습니다. 헬프데스크 시스템은 한 번 설치된 뒤 업데이트에서 소외되기 쉽습니다. 지원 종료일을 자산 목록에 기록하고, 종료 전에 업그레이드를 계획하십시오.

티켓 서버를 다른 시스템과 분리하십시오

DIVD는 네트워크 분리가 피해 확산을 막았다고 말합니다. 헬프데스크 서버가 다른 내부 시스템이나 관리자 인터페이스에 자유롭게 연결되지 않도록 하십시오. 이 접근법은 조직을 위한 최소 보안 기준선에서 다룹니다.

출처 (공개 기록)

이 글의 사실은 아래 공개 출처에서 가져왔습니다. 공개되지 않은 공격 기법과 공격자의 신원에 대해서는 추측하지 않습니다.

DIVD, "DIVD-2026-00014"(사건 개요 및 타임라인; 악용 링크와 수정 안내는 10월 20일 일부 재확인) — csirt.divd.nl
DIVD, 데이터 조사 개요(DIVD-2026-00014) — csirt.divd.nl
DIVD, "DIVD-2026-00015"(Zammad 취약점, 영향받는 버전, 로그 점검 스크립트) — csirt.divd.nl
DIVD, "CVE-2026-102489" — csirt.divd.nl / "CVE-2026-102490" — csirt.divd.nl
Zammad 커뮤니티 포럼(개발사 직원 발표, 2026년 10월 1일) — community.zammad.org
Zammad 릴리스 노트(7.2, 2026년 9월 23일) — zammad.com / 보안 권고 — github.com
Zammad, CVE-2026-102490 개발사 권고문(2026년 10월 8일) — github.com
Zammad, "6.5.5"(2026년 10월 15일; 긴급 수정 및 7.2.2로의 이전 권고) — zammad.com
CISA, Known Exploited Vulnerabilities Catalog(2026년 10월 2일 추가) — cisa.gov
보도: BleepingComputer, "Automated AI agent used to breach cybersecurity nonprofit DIVD"(2026년 9월 29일) — bleepingcomputer.com
보도: BleepingComputer, "DIVD says Zammad zero-days enabled AI-driven network breach"(2026년 9월 30일) — bleepingcomputer.com

업데이트 기록

2026-10-20: DIVD의 두 악용 링크와 공개 날짜, 개발사의 10월 8일 및 15일 수정 안내를 일부 재확인함. 7.2.0 권고 및 두 번째 수정이 확인되지 않았다는 내용을 바로잡음. 노출된 데이터, 수치, 당국 보고에 대한 전면 재검증은 아님.

2026-10-05: 최초 버전. DIVD의 공개 내용(10월 1일 업데이트까지), 개발사 발표(10월 1일), CISA의 KEV 추가(10월 2일)를 바탕으로 작성.

다음으로 읽을 글

AI 에이전트 침해: Hugging Face 침해 사고(2026) / AI 에이전트가 실제 웹사이트에 접근하는 방식
수정 우선순위: CVE를 어떤 순서로 수정할지 정하는 방법(CVSS, EPSS, KEV)
용어: 세션 고정 / 원격 코드 실행(RCE) / IoC(침해 지표) / 피싱
운영자용: 조직을 위한 최소 보안 기준선
2026년 기타 사고: 침해 및 사이버 공격 목록(일본 및 전 세계)

FAQ

QDIVD는 무엇인가요?

DIVD(Dutch Institute for Vulnerability Disclosure)는 네덜란드의 자원봉사 중심 비영리 보안 단체입니다. 인터넷에 노출되어 알려진 취약점이 있는 시스템을 찾아 소유자에게 통지합니다(취약점 공개). 이 업무를 위해 보안 사고의 연락 창구 역할을 하는 CSIRT(보안 사고 대응팀)를 운영합니다.

Q무엇이 유출되었나요?

DIVD에 따르면, 자원봉사자들의 DIVD 이메일 주소가 외부로 빠져나간 것이 확인되었고, 자원봉사자들의 연락처 정보도 빠져나갔을 수 있습니다. CSIRT 티켓 시스템의 정보 일부가 추출되었습니다. DIVD는 CSIRT와 연락했던 모든 조직이나 개인에게 공격자가 해당 정보를 가지고 있을 수 있다고 가정할 것을 요청합니다. 여기에는 스캔 데이터에 대한 후속 연락(취약한 시스템의 IP 주소 포함), CSIRT 메일함으로 보고된 취약점, 비밀번호가 마스킹된 자격 증명 덤프 추출본이 포함될 수 있습니다. 회계 시스템과 은행 계좌에서는 침해 징후가 발견되지 않았습니다. 2026년 10월 5일 현재 조사는 진행 중입니다.

QAI 에이전트가 공격을 수행했다는 것은 무엇을 의미하나요?

DIVD는 침해 이후의 활동이 각 동작의 결과를 살펴보고 다음 단계를 스스로 결정한 자동화된 AI 에이전트에 의해 수행된 것으로 평가했습니다. 증거로, 에이전트가 자신의 행동을 정당화한 메모가 공격자의 스크립트에 남아 있었다는 점을 들고 있습니다. DIVD는 이 활동을 빠르지만 허술하고 시끄러운 것으로도 묘사합니다. 에이전트를 운용한 주체는 알려지지 않았으며, DIVD는 알려진 공개 위협 행위자와의 연관성을 확인하지 못했다고 밝혔습니다.

Q어떤 Zammad 버전이 영향을 받나요?

DIVD는 CVE-2026-102489가 6.3.0부터 6.5.4까지에서 악용될 수 있다고 설명합니다. 10월 15일 개발사는 지원이 종료된 6.5 라인을 위해 긴급 수정 버전 6.5.5를 출시했습니다. CVE-2026-102490에 대해 개발사의 10월 8일 권고문은 7.2.1까지의 packager.io DEB/RPM 패키지를 영향받는 것으로, 7.2.2를 패치된 것으로 명시합니다. 소스 설치와 공식 컨테이너 이미지는 이 권한 상승 문제의 영향을 받지 않습니다. 악용하려면 권한이 없는 zammad 서비스 계정으로 이미 코드를 실행할 수 있어야 합니다.

QZammad를 운영하고 있습니다. 무엇을 해야 하나요?

10월 15일 개발사는 자체 호스팅 사용자에게 7.2.2를 강력히 권고했습니다. 6.5를 사용 중이고 즉시 이전할 수 없다면 6.5.5로 업데이트하십시오. 이 버전은 새 패키지 저장소가 필요하며 지원 기간을 연장하지 않습니다. CVE-2026-102489를 위한 긴급 수정일 뿐, 두 취약점을 모두 해결하는 대안은 아닙니다. 설치 방식을 확인하고, 인터넷 노출 상태와 침해 징후를 점검하며, 의심스러운 흔적이 발견되면 저장된 자격 증명을 교체하십시오.

Q이 취약점들이 KEV에 추가되었다는 것은 무엇을 의미하나요?

KEV(Known Exploited Vulnerabilities)는 미국 사이버보안·인프라보호청(CISA)이 실제로 악용이 확인된 취약점을 모아 놓은 목록입니다. CISA는 2026년 10월 2일 두 취약점을 추가했으며, 미국 연방 기관에 10월 5일까지 조치할 것을 요구했습니다. 다른 나라의 조직에 법적 의무를 부과하지는 않지만, 어떤 수정을 먼저 할지 정하는 데 널리 사용됩니다.