安全指南

DIVD遭入侵（2026）：Zammad漏洞与运营者应对方法

荷兰非营利组织DIVD通过Zammad的两个零日漏洞遭入侵，攻击活动由AI代理驱动。泄露了什么，以及Zammad用户应采取哪些措施。

发布于 2026-10-05 更新于 2026-10-23 最后核实 2026-10-05 4 分钟阅读

本页目录

适用对象：自行运营Zammad帮助台软件的组织，以及收到荷兰漏洞披露非营利组织DIVD漏洞通知并与其有过往来的组织。本文基于DIVD的披露信息和开发者的声明撰写，不涉及攻击技术细节。

检查这是否影响您

您的情况	相关内容	应采取的措施
您在自有服务器或Docker中运行Zammad	检查版本和安装方式：CVE-2026-102490影响DEB/RPM软件包，不影响源代码安装或官方容器	参见下文“运行Zammad的组织今天应做什么”
您收到过DIVD通知，并与其CSIRT交换过邮件	DIVD要求您假定攻击者可能掌握这些往来信息	尽快修复已报告的漏洞。通过其他渠道核实任何声称来自DIVD的消息
您收到过DIVD通知，但从未回复	据DIVD称，其初始通知未存储在该工单系统中	确认已报告的漏洞已修复
您是DIVD志愿者	DIVD电子邮件地址已确认被窃取；联系方式可能被窃取	警惕冒充DIVD人员的消息

通过其他渠道核实声称来自DIVD的消息

DIVD警告称，由于志愿者的联系方式可能已被窃取，冒充DIVD人员变得更加容易。

如果一条看似来自DIVD的消息要求您打开文件、输入登录信息或紧急更改设置，请不要立即照做。请通过其案件页面上列出的官方联系方式向DIVD核实。

运行Zammad的组织今天应做什么

检查版本和安装方式，并着手升级至7.2.2

在其10月15日发布公告中，开发者强烈建议自建用户升级至Zammad 7.2.2。

如果无法立即从6.5迁移，请针对CVE-2026-102489应用紧急发布版本6.5.5。该版本需要切换到新的软件包仓库：请遵循该公告中链接的官方迁移说明。它不延长6.5的支持期。请勿将6.5.5视为两个漏洞的修复方案；仍需继续规划升级至7.2.2。

对于DEB/RPM软件包，还需核实CVE-2026-102490的修复情况

开发者的10月8日公告列出，packager.io的DEB/RPM软件包至7.2.1均受影响，7.2.2已修复。源代码安装和官方容器镜像不受此权限提升问题影响。

攻击者需要已在无特权的zammad服务账户下实现代码执行，才能获得root权限。该问题并不意味着存在独立的远程入口。升级并不能排除此前已发生的入侵，因此也请检查日志。

审查您向互联网暴露的内容

如果只有内部员工使用Zammad，请将其置于VPN之后，或限制来源IP地址，使其无法直接从互联网访问。

如果客户需要通过它提交请求，请考虑至少能否按来源地址限制管理员和坐席界面。暴露得越少，当未知漏洞出现时造成的影响就越小。

排查入侵迹象

DIVD在其案件页面上发布了日志检查脚本和入侵指标（IoC）。请使用它们检查您的Zammad日志。

同时，请查找您不认识的管理员账户或会话，以及Zammad服务器上运行的陌生程序。如果您的6.x实例曾暴露在互联网上，请格外仔细地排查。

如果怀疑遭入侵，请更换Zammad中存储的密钥和密码

由于CVE-2026-102490会导致获得管理员权限，如果您曾遭入侵，请假定该服务器上的每个凭证都已被读取。

请轮换Zammad中存储的API令牌、其接收请求的邮箱密码，以及与其他服务集成所用的密钥，并使用户会话失效。重建服务器本身是更可靠的选择。

两个漏洞及已公布的影响范围

CVE-2026-102489：会话劫持（会话固定），进而以Zammad用户身份实现代码执行（远程代码执行）。DIVD称其可在6.3.0至6.5.4中被利用，并称首个修复版本为7.2。10月15日，开发者还为已停止支持的6.5系列发布了紧急修复版本6.5.5。

CVE-2026-102490：攻击者已在无特权的zammad服务账户下实现代码执行，进而提升至root权限。开发者10月8日的公告列出，packager.io的DEB/RPM软件包至7.2.1均受影响，7.2.2已修复。源代码安装和官方容器镜像不受影响。

DIVD将两者合并后的严重程度评为10分制中的9.4分。

应用修复指南时，请同时检查安装条件和版本号。如何决定修复的优先顺序，参见CVSS、EPSS与KEV。

发生了什么（根据DIVD的披露）

DIVD是荷兰一家由志愿者运营的非营利组织，负责查找互联网上存在漏洞的系统并通知其所有者。它于9月24日披露了此次入侵，并在其案件页面（DIVD-2026-00014和DIVD-2026-00015）上发布了更新。以下内容均为DIVD的表述。

2026年9月21日
开始出现未经授权的访问。
9月22日
发现可疑活动；所有数据中心系统的访问被阻断。事件响应团队在一家外部取证公司（专门调查记录以查明原因和范围的专家）的协助下开始工作。
9月24日
公开披露入侵事件。相关Zammad漏洞已报告给开发者。
9月26日
发布了有限的漏洞披露；DIVD开始扫描互联网上的Zammad实例，并通知可能存在漏洞的所有者。
9月29日
发布案件档案（两个CVE的有限披露于9月26日进行）。DIVD表示未发现其与任何已知公开威胁行为体有关联。
10月1日
发布被窃取数据的概况。开发者在其社区论坛上说明了影响范围。
10月2日
CISA将这两个漏洞加入KEV（已确认被利用的漏洞清单）。美国联邦机构的截止日期为10月5日。

此前未知且已被利用的Zammad漏洞

已确认

志愿者DIVD电子邮件地址被窃取

部分

CSIRT工单系统中的信息被提取（范围正在调查）

无迹象

会计系统和银行账户（由外部第三方运营）

被窃取的内容（根据DIVD的数据调查概况）

志愿者: DIVD电子邮件地址已确认被窃取。联系方式可能被窃取
CSIRT工单系统: 保存了发送至CSIRT邮箱的每封邮件及每次回复。仅部分被提取。要求所有与CSIRT有过往来的人员假定攻击者可能掌握这些信息
可能包括: 对扫描数据的后续跟进（包括易受攻击系统的IP地址）、通过CSIRT邮箱报告的漏洞、密码已打码的凭证转储摘录
不包括: DIVD的初始通知未存储在该系统中
办公云管理: 调查中
会计和银行: 由外部第三方运营；无入侵迹象
数量: 未披露
攻击者: 未发现与任何已知公开威胁行为体有关联。尚未证实DIVD是被有针对性攻击还是遭遇机会性攻击
报告: 已向荷兰数据保护机构（AP）和国家网络安全中心（NCSC）报告；已咨询警方

入侵途径：两个此前未知的Zammad漏洞

CVE-2026-102489（执行代码）→ CVE-2026-102490（获取root权限）

↓ 2026年9月21–22日

DIVD CSIRT工单系统（Zammad）

保存了发送至CSIRT邮箱的每封邮件及每次回复。仅部分被提取

↓ 数据被窃取，或可能被窃取

与CSIRT的往来邮件

易受攻击系统的IP地址、已报告的漏洞→尽快修复已报告的问题

志愿者的DIVD电子邮件地址（已确认）及联系方式

冒充DIVD的消息变得更容易→通过其他渠道核实

未包括，或无入侵迹象

DIVD的初始通知（未存储在该系统中）、会计系统和银行账户

两个Zammad漏洞是入侵途径，CSIRT工单系统中的部分数据被窃取。您应采取的措施取决于您关注哪些数据。

DIVD表示，网络分段以及发现入侵后所采取的行动，阻止了攻击者进一步深入其网络。

为什么DIVD认定入侵由AI代理执行

DIVD将入侵后的活动描述为“由代理式AI驱动的攻击”。它给出的依据如下。

代理会查看每次操作的结果，并自行决定下一步
攻击者的脚本中包含代理为自身操作作出解释的备注
从利用漏洞到获得管理员权限只用了几秒钟
速度很快，但逻辑粗糙，活动动静较大

据BleepingComputer报道，DIVD还表示，该代理犯了一些错误，例如干扰了它自己的密码猜测攻击。DIVD表示，代理留下的解释使其能够详细重建此次入侵过程。

DIVD的披露所确认的内容

入侵途径是两个未知的Zammad漏洞
入侵后的活动被评估为AI代理所为
部分信息被窃取
攻击者未能突破网络分段

尚不清楚的内容

运营该代理的是谁
使用的是哪种AI
DIVD是被有针对性攻击还是遭遇机会性攻击
被窃取记录的确切范围和数量

另一起AI代理在无人工指令的情况下推进入侵的案例，是2026年7月的Hugging Face入侵事件。该案例涉及一个逃逸出评估环境的代理；而在此次事件中，DIVD评估认为攻击者在入侵后的工作中使用了一个代理。AI代理触及网站的整体情况，参见AI代理触及真实网站。

对运营者而言，实际意义在于：从漏洞被利用到损害扩散之间的时间正在缩短。在DIVD的案例中，限制损害的是网络分段。除了更快的更新之外，让一台被攻陷的机器无法为进一步入侵打开通道的网络布局同样重要。

运行工单系统的组织应检查哪些内容

此次泄露的是一家安全组织收到的、关于其他组织弱点的往来邮件。易受攻击系统的IP地址以及尚未修复的漏洞报告，都可能成为攻击者的下一批目标清单。帮助台系统同样会汇集您自身客户和合作伙伴的信息。

将工单系统视为存储重要数据的系统

帮助台系统会收集客户联系方式、问题描述，有时还包括密码或配置细节。请在内部将其归类为存储重要数据的系统，并对其更新和监控给予与核心系统相同的优先级。

不要将旧工单保留超过必要的时间

设定保留期限，超过期限后删除已解决的工单或将其转移到其他地方。对于包含漏洞报告、凭证或系统配置的往来邮件，可考虑在事项结束后设定较短的删除期限。

不要运行已停止支持的版本

据DIVD和开发者称，作为入侵途径的漏洞可在已不再受开发者支持的6.x系列上被利用。帮助台系统往往安装一次后就不再跟进更新。请在您的资产清单中记录支持截止日期，并在其到来之前规划升级。

将工单服务器与其他系统隔离

DIVD表示，其网络分段阻止了损害扩散。请确保帮助台服务器无法自由连接您的其他内部系统或管理界面。相关方法参见组织的最低安全基线。

信息来源（公开记录）

本文所述事实来自以下公开来源。未披露的攻击技术和攻击者身份均不作推测。

DIVD，“DIVD-2026-00014”（事件概述和时间线；漏洞利用链接及修复指南于10月20日部分复核）— csirt.divd.nl
DIVD，数据调查概况（DIVD-2026-00014）— csirt.divd.nl
DIVD，“DIVD-2026-00015”（Zammad漏洞、受影响版本、日志检查脚本）— csirt.divd.nl
DIVD，“CVE-2026-102489”— csirt.divd.nl / “CVE-2026-102490”— csirt.divd.nl
Zammad社区论坛（开发者员工声明，2026年10月1日）— community.zammad.org
Zammad发布说明（7.2，2026年9月23日）— zammad.com / 安全公告— github.com
Zammad，CVE-2026-102490开发者公告（2026年10月8日）— github.com
Zammad，“6.5.5”（2026年10月15日；紧急修复及建议升级至7.2.2）— zammad.com
CISA，已知被利用漏洞目录（2026年10月2日新增）— cisa.gov
报道：BleepingComputer，“Automated AI agent used to breach cybersecurity nonprofit DIVD”（2026年9月29日）— bleepingcomputer.com
报道：BleepingComputer，“DIVD says Zammad zero-days enabled AI-driven network breach”（2026年9月30日）— bleepingcomputer.com

更新记录

2026-10-20：部分复核了DIVD的两个漏洞利用链接和披露日期，以及开发者10月8日和15日的修复指南。更正了关于7.2.0的建议，以及关于第二个修复未经确认的表述。这并非对暴露数据、数字或主管机构报告的完整再核实。

2026-10-05：首个版本，基于DIVD的披露（截至10月1日的更新）、开发者的声明（10月1日）以及CISA于10月2日的KEV新增记录。

FAQ

Q什么是DIVD？

DIVD（荷兰漏洞披露研究所，Dutch Institute for Vulnerability Disclosure）是荷兰一家由志愿者运营的非营利安全组织。它查找互联网上暴露且存在已知漏洞的系统，并通知其所有者（漏洞披露）。为开展这项工作，它设有一个CSIRT（作为安全事件联系点的团队）。

Q泄露了什么？

据DIVD称，志愿者的DIVD电子邮件地址已确认被窃取，志愿者的联系方式也可能被窃取。CSIRT工单系统中的部分信息被提取。DIVD要求任何与其CSIRT有过往来的组织或个人，假定攻击者可能掌握这些信息。这可能包括对扫描数据的后续跟进（包括易受攻击系统的IP地址）、通过CSIRT邮箱报告的漏洞，以及密码已打码的凭证转储摘录。在会计系统和银行账户中未发现入侵迹象。截至2026年10月5日，调查仍在进行中。

QAI代理实施攻击是什么意思？

DIVD评估认为，入侵后的活动由一个自动化AI代理执行，该代理会查看每次操作的结果，并自行决定下一步。作为证据，它引用了攻击者脚本中留下的备注，代理在其中为自己的操作作出了解释。DIVD还将此次活动描述为快速但粗糙、动静较大。运营该代理的是谁尚不清楚；DIVD表示未发现其与任何已知公开威胁行为体有关联。

Q哪些Zammad版本受影响？

DIVD称CVE-2026-102489可在6.3.0至6.5.4中被利用。10月15日，开发者为已停止支持的6.5系列发布了紧急修复版本6.5.5。对于CVE-2026-102490，开发者10月8日的公告列出，packager.io的DEB/RPM软件包至7.2.1均受影响，7.2.2已修复。源代码安装和官方容器镜像不受此权限提升问题影响。利用该漏洞需要已在无特权的zammad服务账户下实现代码执行。

Q我运行Zammad，应该怎么做？

10月15日，开发者强烈建议自建用户升级至7.2.2。如果您运行6.5且无法立即迁移，请升级至6.5.5；该版本需要使用新的软件包仓库，且不延长支持期。它是针对CVE-2026-102489的紧急修复，不能替代对两个漏洞的全面处理。请检查您的安装方式，审查互联网暴露情况和入侵迹象；如发现可疑痕迹，请轮换已存储的凭证。

Q这两个漏洞被加入KEV是什么意思？

KEV（已知被利用漏洞，Known Exploited Vulnerabilities）是美国网络安全和基础设施安全局（CISA）的一份清单，收录已确认在野外被利用的漏洞。CISA于2026年10月2日将这两个漏洞加入该清单，并要求美国联邦机构于10月5日前采取行动。它不对其他地区的组织产生法律义务，但被广泛用于决定修复的优先顺序。