Для: организаций, которые самостоятельно размещают программу службы поддержки Zammad, и организаций, которые получили уведомление об уязвимости от DIVD (голландской некоммерческой организации по раскрытию уязвимостей) и переписывались с ней. Статья основана на заявлениях DIVD и разработчика и не описывает методы атак.
Проверьте, касается ли это вас
| Ваша ситуация | Что важно | Что делать |
|---|---|---|
| Вы запускаете Zammad на собственных серверах или в Docker | Проверьте версию и способ установки: CVE-2026-102490 касается пакетов DEB/RPM, а не установок из исходного кода или официальных контейнеров | Всё, что перечислено в разделе «Что сделать сегодня организациям, использующим Zammad» ниже |
| Вы получили уведомление от DIVD и переписывались с её CSIRT | DIVD просит считать, что нападавшие могут располагать этой перепиской | Быстро устраните указанные уязвимости. Проверяйте любое сообщение, выдающее себя за DIVD, через другой канал |
| Вы получили уведомление от DIVD, но не отвечали | По данным DIVD, её первичные уведомления не хранятся в этой системе тикетов | Убедитесь, что указанная уязвимость устранена |
| Вы волонтёр DIVD | Адреса электронной почты DIVD подтверждённо похищены; контактные данные, возможно, тоже | Будьте осторожны с сообщениями, выдающими себя за сотрудников DIVD |
Проверяйте сообщения, выдающие себя за DIVD, через другой канал
DIVD предупреждает: поскольку контактные данные волонтёров могли быть похищены, выдавать себя за сотрудников DIVD стало легче.
Если сообщение, которое выглядит как отправленное DIVD, просит открыть файл, ввести данные для входа или срочно изменить настройки, не выполняйте его сразу. Уточните у DIVD через официальный контакт, указанный на странице дела.
Что сделать сегодня организациям, использующим Zammad
Проверьте версию и способ установки и переходите на 7.2.2
В своём уведомлении о выпуске от 15 октября разработчик настоятельно рекомендует Zammad 7.2.2 для пользователей, которые размещают систему сами.
Если вы не можете немедленно мигрировать с 6.5, установите экстренный релиз 6.5.5 для CVE-2026-102489. Для него требуется переход на новый репозиторий пакетов: следуйте официальным инструкциям по миграции, ссылка на которые есть в этом уведомлении. Поддержка 6.5 этим не продлевается. Не считайте 6.5.5 исправлением обеих уязвимостей; продолжайте планировать переход на 7.2.2.
Для пакетов DEB/RPM также проверьте исправление CVE-2026-102490
В рекомендации разработчика от 8 октября пакеты DEB/RPM от packager.io до версии 7.2.1 включительно указаны как затронутые, а 7.2.2 — как исправленная. Установки из исходного кода и официальные контейнерные образы этой проблемой повышения привилегий не затронуты.
Для получения root-прав атакующему нужно уже иметь выполнение кода от имени непривилегированной служебной учётной записи zammad. Это не подразумевает отдельной точки входа из внешней сети. Обновление не исключает более раннего взлома, поэтому проверьте и логи.
Оцените, что вы открываете в интернет
Если Zammad используют только ваши сотрудники, разместите его за VPN или ограничьте IP-адреса источников, чтобы к нему нельзя было напрямую подключиться из интернета.
Если клиентам нужно отправлять через него запросы, подумайте, можно ли ограничить хотя бы экраны администратора и агентов по адресу источника. Чем меньше открыто, тем меньше последствия, когда появляется неизвестная уязвимость.
Ищите признаки взлома
На странице дела DIVD опубликованы скрипт проверки логов и индикаторы компрометации (IoC). Используйте их для проверки логов Zammad.
Также ищите неизвестные вам административные учётные записи или сеансы и незнакомые программы, работающие на сервере Zammad. Особенно тщательно проверьте, если экземпляр 6.x был доступен из интернета.
При подозрении на взлом смените ключи и пароли, хранящиеся в Zammad
Поскольку CVE-2026-102490 ведёт к правам администратора, при взломе считайте, что все учётные данные на этом сервере могли быть прочитаны.
Перевыпустите API-токены, хранящиеся в Zammad, пароли почтовых ящиков, с которых поступают запросы, и ключи для интеграций с другими сервисами, а также завершите пользовательские сеансы. Надёжнее всего пересоздать сам сервер.
Две уязвимости и заявленный охват
CVE-2026-102489: фиксация сеанса (фиксация сеанса), ведущая к выполнению кода от имени пользователя Zammad (удалённое выполнение кода). DIVD описывает её как эксплуатируемую в версиях с 6.3.0 по 6.5.4 и сообщает, что первое исправление вышло в 7.2. 15 октября разработчик также выпустил экстренное исправление 6.5.5 для неподдерживаемой линейки 6.5.
CVE-2026-102490: повышение привилегий до root атакующим, который уже имеет выполнение кода от имени непривилегированной служебной учётной записи zammad. В рекомендации разработчика от 8 октября пакеты DEB/RPM от packager.io до версии 7.2.1 включительно указаны как затронутые, а 7.2.2 — как исправленная. Установки из исходного кода и официальные контейнерные образы не затронуты.
DIVD оценивает совокупную критичность двух уязвимостей в 9,4 из 10.
При применении рекомендаций по исправлению учитывайте не только номера версий, но и условия установки. О том, как определить очерёдность исправлений, см. CVSS, EPSS и KEV.
Что произошло (по данным DIVD)
DIVD — волонтёрская некоммерческая организация в Нидерландах, которая ищет уязвимые системы в интернете и уведомляет их владельцев. О взломе она сообщила 24 сентября и публиковала обновления на страницах своих дел (DIVD-2026-00014 и DIVD-2026-00015). Далее приведено со слов DIVD.
21 сент. 2026
Начинается несанкционированный доступ.22 сент.
Обнаружена подозрительная активность; доступ ко всем системам дата-центра заблокирован. Группа реагирования на инциденты начинает работу с помощью внешней криминалистической компании (специалистов, которые исследуют записи, чтобы установить причину и масштаб).24 сент.
Взлом публично раскрыт. Уязвимости Zammad переданы разработчику.26 сент.
Опубликовано ограниченное раскрытие уязвимостей; DIVD начинает сканировать экземпляры Zammad в интернете и уведомлять владельцев, которые могут быть уязвимы.29 сент.
Опубликован отчёт по делу (ограниченное раскрытие двух CVE состоялось 26 сентября). DIVD говорит, что не видит связи с каким-либо известным публичным злоумышленником.1 окт.
Опубликован обзор похищенных данных. Разработчик объясняет масштаб на своём форуме сообщества.2 окт.
CISA добавляет обе уязвимости в KEV (список подтверждённо эксплуатируемых уязвимостей). Срок для федеральных агентств США: 5 октября.
- Волонтёры
- Адреса электронной почты DIVD подтверждённо похищены. Контактные данные, возможно, похищены
- Система тикетов CSIRT
- Хранит каждое письмо, отправленное на почтовый ящик CSIRT, и каждый ответ. Извлечена только часть. Тем, кто переписывался с CSIRT, предлагается считать, что нападавшие могут располагать этой информацией
- Может включать
- Уточнения по данным сканирования (в том числе IP-адреса уязвимых систем), уязвимости, сообщённые через почтовый ящик CSIRT, выборки из дампов учётных данных с замаскированными паролями
- Не включено
- Первичные уведомления DIVD не хранятся в этой системе
- Администрирование офисного облака
- Расследуется
- Бухгалтерия и банк
- Ведутся внешними сторонами; признаков компрометации нет
- Количество
- Не раскрыто
- Злоумышленник
- Связи с каким-либо известным публичным злоумышленником нет. Была ли DIVD атакована целенаправленно или оказалась жертвой случайного выбора, не подтверждено
- Сообщения
- Сообщено голландскому органу по защите персональных данных (AP) и Национальному центру кибербезопасности (NCSC); проконсультированы в полиции
Вход: две ранее неизвестные уязвимости Zammad
CVE-2026-102489 (выполнение кода) → CVE-2026-102490 (получение root)
↓ 21–22 сентября 2026
Система тикетов CSIRT DIVD (Zammad)
Хранит каждое письмо на почтовый ящик CSIRT и каждый ответ. Извлечена только часть
↓ Данные похищены или, возможно, похищены
Переписка с CSIRT
IP-адреса уязвимых систем, сообщённые уязвимости → быстро устраните указанные проблемы
Адреса электронной почты волонтёров DIVD (подтверждено) и контактные данные
Сообщения, выдающие себя за DIVD, становятся проще → проверяйте через другой канал
Не включено или признаков компрометации нет
Первичные уведомления DIVD (не хранятся в этой системе), бухгалтерские системы и банковские счета
По словам DIVD, сегментация сети и действия, предпринятые после обнаружения, не позволили злоумышленнику проникнуть глубже в её сеть.
Почему DIVD решила, что взлом провёл ИИ-агент
DIVD описывает действия после проникновения как «агентную атаку на основе ИИ». Её аргументы таковы.
- Агент анализировал результат каждого действия и сам решал, что делать дальше
- В скриптах нападавшего были заметки, в которых агент обосновывал свои действия
- Переход от эксплуатации уязвимости к правам администратора занял считанные секунды
- Действовал он быстро, но логика была небрежной, а активность — шумной
Как сообщает BleepingComputer, DIVD также заявила, что агент допускал ошибки, например мешал собственной атаке подбором паролей. По словам DIVD, оставленные агентом пояснения позволили детально восстановить ход взлома.
Что установлено заявлениями DIVD
- Точкой входа стали две неизвестные уязвимости Zammad
- Действия после проникновения оцениваются как выполненные ИИ-агентом
- Часть информации была похищена
- Нападавший не вышел за пределы сегментации сети
Что неизвестно
- Кто управлял агентом
- Какой именно ИИ использовался
- Была ли DIVD атакована целенаправленно или оказалась жертвой случайного выбора
- Точный масштаб и количество похищенных записей
Другой случай, когда ИИ-агент продвигал взлом без ожидания указаний человека, — взлом Hugging Face в июле 2026 года. Тот случай касался агента, который вышел за пределы среды оценки; в данном случае DIVD считает, что злоумышленник использовал агента для действий после проникновения. Общая картина того, как ИИ-агенты обращаются к веб-сайтам, описана в статье ИИ-агенты и реальные веб-сайты.
Для операторов практический смысл в том, что промежуток между эксплуатацией уязвимости и распространением ущерба сокращается. В случае DIVD ограничить ущерб помогла сегментация сети. Наряду с более быстрыми обновлениями полезна схема, при которой один скомпрометированный компьютер не открывает путь ко всему остальному.
Что должны проверить организации, использующие системы тикетов
Утекла переписка, которую получила организация по безопасности, и касалась она слабых мест других организаций. IP-адреса уязвимых систем и сообщения о ещё не исправленных уязвимостях могут послужить нападавшему списком следующих целей. Система службы поддержки так же собирает информацию о ваших клиентах и партнёрах.
Относитесь к системе тикетов как к системе, которая хранит важные данные
Система службы поддержки собирает контактные данные клиентов, описания проблем, а иногда пароли или сведения о конфигурации. Внутри организации классифицируйте её как систему с важными данными и уделяйте её обновлениям и мониторингу такое же внимание, как ключевым системам.
Не храните старые тикеты дольше необходимого
Задайте срок хранения, после которого закрытые тикеты удаляются или переносятся в другое место. Для переписки, содержащей сведения об уязвимостях, учётные данные или конфигурацию систем, рассмотрите короткий срок удаления после закрытия вопроса.
Не используйте версии, которые больше не поддерживаются
По данным DIVD и разработчика, уязвимость, использованная как точка входа, можно эксплуатировать в линейке 6.x, которую разработчик больше не поддерживает. Системы службы поддержки часто устанавливают один раз и потом перестают обновлять. Запишите дату окончания поддержки в свой реестр и заранее планируйте обновление.
Отделите сервер тикетов от других систем
DIVD сообщает, что сегментация её сети остановила распространение ущерба. Убедитесь, что сервер службы поддержки не может свободно подключаться к другим внутренним системам или административным интерфейсам. Подход описан в статье Минимальная базовая мера безопасности для организаций.
Источники (публичные данные)
Факты в этой статье взяты из перечисленных ниже публичных источников. Нераскрытые методы атаки и личность злоумышленника не обсуждаются.
- DIVD, «DIVD-2026-00014» (обзор инцидента и хронология; ссылки на эксплуатацию и рекомендации по исправлению частично перепроверены 20 октября) — csirt.divd.nl
- DIVD, обзор расследования данных (DIVD-2026-00014) — csirt.divd.nl
- DIVD, «DIVD-2026-00015» (уязвимости Zammad, затронутые версии, скрипт проверки логов) — csirt.divd.nl
- DIVD, «CVE-2026-102489» — csirt.divd.nl / «CVE-2026-102490» — csirt.divd.nl
- Форум сообщества Zammad (заявления сотрудников разработчика, 1 октября 2026) — community.zammad.org
- Примечания к выпускам Zammad (7.2, 23 сентября 2026) — zammad.com / рекомендации по безопасности — github.com
- Zammad, рекомендация разработчика по CVE-2026-102490 (8 октября 2026) — github.com
- Zammad, «6.5.5» (15 октября 2026; экстренное исправление и рекомендация перейти на 7.2.2) — zammad.com
- CISA, Каталог известных эксплуатируемых уязвимостей (добавлено 2 октября 2026) — cisa.gov
- Публикация: BleepingComputer, «Automated AI agent used to breach cybersecurity nonprofit DIVD» (29 сентября 2026) — bleepingcomputer.com
- Публикация: BleepingComputer, «DIVD says Zammad zero-days enabled AI-driven network breach» (30 сентября 2026) — bleepingcomputer.com
История обновлений
2026-10-20: Частично перепроверены две ссылки DIVD об эксплуатации и даты раскрытия, а также рекомендации разработчика по исправлению от 8 и 15 октября. Исправлена рекомендация 7.2.0 и утверждение о том, что второе исправление не подтверждено. Это не полная перепроверка данных о масштабе утечки, цифр и отчётов в органы власти.
2026-10-05: Первая версия на основе заявлений DIVD (с учётом обновления от 1 октября), заявлений разработчика (1 октября) и добавления CISA в KEV (2 октября).
Читайте дальше
- Атаки ИИ-агентов: Взлом Hugging Face (2026) / ИИ-агенты и реальные веб-сайты
- Приоритеты исправлений: Как определить, какие CVE исправлять в первую очередь (CVSS, EPSS, KEV)
- Термины: Фиксация сеанса / Удалённое выполнение кода (RCE) / IoC (индикаторы компрометации) / Фишинг
- Для операторов: Минимальная базовая мера безопасности для организаций
- Другие инциденты 2026 года: список взломов и кибератак (Япония и мир)