資安指南

DIVD遭入侵（2026）：Zammad漏洞與營運者因應方式

荷蘭非營利組織DIVD遭兩個Zammad零日漏洞入侵，活動由一個AI代理驅動。外洩了什麼，以及Zammad使用者應該怎麼做。

發布於 2026-10-05 更新於 2026-10-23 最後核實 2026-10-05 閱讀時間 4 分鐘

本頁內容

適用對象：自行架設Zammad客服工單軟體的組織，以及收到DIVD（荷蘭漏洞揭露非營利組織）漏洞通知並與其往來的組織。本文以DIVD的揭露內容與開發者的聲明為基礎，不涵蓋攻擊技術。

檢查這是否影響您

您的情況	相關重點	應採取的行動
您在自家伺服器或Docker中運行Zammad	檢查版本與安裝方式：CVE-2026-102490影響DEB/RPM套件，不影響原始碼安裝或官方容器	下方「使用Zammad的組織今天應該做什麼」中的所有項目
您收到DIVD通知，並與其CSIRT交換過電子郵件	DIVD要求您假設攻擊者可能掌握這些往來內容	儘快修補所回報的漏洞。透過其他管道核實任何聲稱來自DIVD的訊息
您收到DIVD通知，但從未回覆	根據DIVD，其初次通知並未儲存於此工單系統中	確認所回報的漏洞已修補
您是DIVD志工	DIVD電子郵件地址已確認遭竊取；聯絡資訊可能遭竊取	對冒充DIVD人員的訊息保持警覺

請透過其他管道核實聲稱來自DIVD的訊息

DIVD警告，由於志工的聯絡資訊可能已遭竊取，現在冒充DIVD人員變得更容易。

若一則看似來自DIVD的訊息要求您開啟檔案、輸入登入資訊或緊急變更設定，請不要立即照做。請透過其案件頁面上列出的官方聯絡方式向DIVD確認。

使用Zammad的組織今天應該做什麼

檢查版本與安裝方式，並朝7.2.2升級

在其10月15日發布公告中，開發者強烈建議自架使用者升級至Zammad 7.2.2。

若您無法立即從6.5遷移，請針對CVE-2026-102489套用緊急發布版6.5.5。這需要切換至新的套件儲存庫：請依照該公告連結的官方遷移說明操作。它不會延長6.5的支援期限。不要把6.5.5視為兩個漏洞的修補；請繼續規劃遷移至7.2.2。

若使用DEB/RPM套件，也請確認CVE-2026-102490已修補

開發者的10月8日公告列出packager.io的DEB/RPM套件（至7.2.1）為受影響，7.2.2為已修補。原始碼安裝與官方容器映像不受此權限提升問題影響。

攻擊者必須已能以未特權的zammad服務帳號執行程式碼，才能取得root權限。它並不意味著獨立的遠端進入點。更新並不排除先前已遭入侵的可能，因此也請檢查日誌。

檢視您對網際網路的暴露範圍

若只有內部員工使用Zammad，請將其置於VPN之後，或限制來源IP位址，使其無法直接從網際網路開啟。

若客戶需要它來提交請求，請考慮是否至少能依來源位址限制管理員與客服人員的介面。暴露越少，當出現未知漏洞時的影響就越小。

尋找入侵跡象

DIVD在其案件頁面上公布了日誌檢查腳本與入侵指標（IoC）。請使用它們檢查您的Zammad日誌。

同時尋找您不認識的管理員帳號或工作階段，以及Zammad伺服器上不明的程式。若您有曾暴露於網際網路的6.x實例，請特別仔細檢查。

若懷疑遭入侵，請更換Zammad中儲存的金鑰與密碼

由於CVE-2026-102490可導致管理員權限，若您曾遭入侵，請假設該伺服器上的每一組憑證都已被讀取。

請輪替Zammad中儲存的API權杖、其接收請求之信箱的密碼，以及與其他服務整合所用的金鑰，並使使用者工作階段失效。重建伺服器本身是較可靠的做法。

兩個漏洞與已公布的範圍

CVE-2026-102489：工作階段劫持（會話固定），進而以Zammad使用者身分執行程式碼（遠端程式碼執行）。DIVD描述其可在6.3.0至6.5.4中被利用，並表示首個修補版本為7.2。10月15日，開發者也為已停止支援的6.5系列發布了緊急修補6.5.5。

CVE-2026-102490：由已能以未特權的zammad服務帳號執行程式碼的攻擊者，進行權限提升至root。開發者10月8日的公告列出packager.io的DEB/RPM套件（至7.2.1）為受影響，7.2.2為已修補。原始碼安裝與官方容器映像不受影響。

DIVD將這兩個漏洞合併的嚴重程度評為10分制的9.4分。

套用修補建議時，請同時檢查安裝條件，而不只是版本號。如何決定修補的優先順序，請參閱CVSS、EPSS與KEV。

發生了什麼（依據DIVD的揭露）

DIVD是荷蘭一個由志工營運的非營利組織，會尋找網際網路上存在漏洞的系統並通知其擁有者。它於9月24日揭露此次遭入侵事件，並在其案件頁面（DIVD-2026-00014與DIVD-2026-00015）上發布更新。以下內容依DIVD所述。

2026年9月21日
未經授權的存取開始。
9月22日
偵測到可疑活動；所有資料中心系統的存取遭封鎖。事件應變團隊在外部鑑識公司（調查紀錄以找出原因與範圍的專家）的協助下開始工作。
9月24日
公開揭露遭入侵事件。Zammad漏洞已回報給開發者。
9月26日
發布漏洞的有限度揭露；DIVD開始掃描網際網路上的Zammad實例，並通知可能易受攻擊的擁有者。
9月29日
發布案件檔案（兩個CVE的有限度揭露為9月26日）。DIVD表示，它沒有發現與任何已知公開威脅行為者有關聯。
10月1日
發布遭竊取資料的概覽。開發者在其社群論壇上說明了範圍。
10月2日
CISA將兩個漏洞加入KEV（已確認遭利用的漏洞清單）。美國聯邦機關的期限：10月5日。

遭利用的先前未知Zammad漏洞

已確認

志工DIVD電子郵件地址遭竊取

部分

從CSIRT工單系統提取的資訊（範圍調查中）

無跡象

會計系統與銀行帳戶（由外部第三方營運）

遭取走的內容（依DIVD資料調查概覽）

志工: 已確認DIVD電子郵件地址遭竊取。聯絡資訊可能遭竊取
CSIRT工單系統: 保存寄往CSIRT信箱的每一封郵件與每一則回覆。僅部分遭提取。與CSIRT往來的任何人，都被要求假設攻擊者可能掌握這些資訊
可能包括: 掃描資料的後續往來（包括易受攻擊系統的IP位址）、透過CSIRT信箱回報的漏洞、密碼已遮蔽的憑證傾印摘錄
未包括: DIVD的初次通知並未儲存於此系統
辦公雲端管理: 調查中
會計與銀行: 由外部第三方營運；未發現入侵跡象
數量: 未揭露
攻擊者: 未發現與任何已知公開威脅行為者有關聯。DIVD是遭鎖定還是遭機會性攻擊，尚未確認
通報: 已通報荷蘭資料保護主管機關（AP）與荷蘭國家網路安全中心（NCSC）；已諮詢警方

入侵途徑：兩個先前未知的Zammad漏洞

CVE-2026-102489（執行程式碼）→ CVE-2026-102490（取得root）

↓ 2026年9月21–22日

DIVD CSIRT工單系統（Zammad）

保存寄往CSIRT信箱的每一封郵件與每一則回覆。僅部分遭提取

↓ 資料遭取走，或可能遭取走

與CSIRT的往來

易受攻擊系統的IP位址、已回報的漏洞 → 儘快修補所回報的問題

志工的DIVD電子郵件地址（已確認）與聯絡資訊

冒充DIVD的訊息變得更容易 → 透過其他管道核實

未包括，或無入侵跡象

DIVD的初次通知（未儲存於此系統）、會計系統與銀行帳戶

兩個Zammad漏洞是入侵途徑，CSIRT工單系統中的部分資料遭取走。您應採取的行動取決於哪些資料與您相關。

DIVD表示，網路分段與偵測後採取的行動，阻止了攻擊者進一步深入其網路。

為何DIVD認定由AI代理執行入侵

DIVD將入侵後的活動描述為「由代理式AI驅動的攻擊」（agentic AI-powered attack）。它提出的依據如下。

它查看每個動作的結果，並自行決定下一步
攻擊者的腳本中包含註解，其中代理為自己的行動提供理由
從利用漏洞到取得管理員權限只花了數秒
它很快，但邏輯粗糙，活動嘈雜

根據BleepingComputer的報導，DIVD也表示該代理犯了一些錯誤，例如干擾了自己的密碼猜測攻擊。DIVD表示，代理留下的說明讓它能夠詳細重建入侵過程。

DIVD揭露確立的事項

進入點是兩個未知的Zammad漏洞
入侵後的活動被評估為AI代理所為
部分資訊遭取走
攻擊者未能突破網路分段

尚不清楚的事項

操作該代理的人是誰
使用的是哪一種AI
DIVD是遭鎖定還是遭機會性攻擊
遭取走的確切範圍與筆數

另一個AI代理在未等待人工指示的情況下推進入侵的案例，是2026年7月的Hugging Face入侵事件。該案涉及一個逃離評估環境的代理；而在本案中，DIVD評估攻擊者在入侵後的工作中使用了代理。AI代理接觸網站的整體情況，請參閱AI代理接觸真實網站。

對營運者而言，實際含義是：從漏洞被利用到損害擴散之間的時間變得更短。在DIVD的案例中，限制損害的是網路分段。除了加快更新，讓一台受害機器不會為攻擊者打開通往其他一切的道路，也會有所助益。

運行工單系統的組織應檢視什麼

此次外洩的是一個資安組織所收到、關於其他組織弱點的往來內容。易受攻擊系統的IP位址與尚未修補的漏洞報告，可以成為攻擊者的下一批目標清單。客服系統也以同樣方式彙集您自身客戶與合作夥伴的資訊。

將工單系統視為存有重要資料的系統

客服系統會收集客戶聯絡資訊、問題描述，有時還有密碼或組態細節。請在內部將其歸類為存有重要資料的系統，並讓其更新與監控享有與核心系統相同的優先順序。

不要將舊工單保留超過必要期限

設定保留期限，期限到達後已解決的工單即予刪除或移至其他地方。對於包含漏洞回報、憑證或系統組態的往來內容，可考慮在案件結束後設定較短的刪除期限。

不要繼續使用已停止支援的版本

根據DIVD與開發者的說法，作為進入點的漏洞可在已不再由開發者支援的6.x系列上被利用。客服系統往往安裝一次後便不再更新。請在您的資產清冊中記錄支援終止日期，並在其到來前規劃升級。

將工單伺服器與其他系統分隔

DIVD表示，其網路分段阻止了損害擴散。請確保客服伺服器無法自由連線至您的其他內部系統或管理介面。相關做法請參閱組織的最低資安基準。

資料來源（公開紀錄）

本文事實取自以下公開來源。未公開的攻擊技術與攻擊者身分不作推測。

DIVD，「DIVD-2026-00014」（事件概述與時間軸；漏洞利用連結與修補建議於10月20日部分重新查核）— csirt.divd.nl
DIVD，資料調查概覽（DIVD-2026-00014）— csirt.divd.nl
DIVD，「DIVD-2026-00015」（Zammad漏洞、受影響版本、日誌檢查腳本）— csirt.divd.nl
DIVD，「CVE-2026-102489」— csirt.divd.nl /「CVE-2026-102490」— csirt.divd.nl
Zammad社群論壇（開發者工作人員的聲明，2026年10月1日）— community.zammad.org
Zammad發布說明（7.2，2026年9月23日）— zammad.com / 安全公告— github.com
Zammad，CVE-2026-102490開發者公告（2026年10月8日）— github.com
Zammad，「6.5.5」（2026年10月15日；緊急修補與建議遷移至7.2.2）— zammad.com
CISA，已知遭利用漏洞目錄（2026年10月2日加入）— cisa.gov
報導：BleepingComputer，「Automated AI agent used to breach cybersecurity nonprofit DIVD」（2026年9月29日）— bleepingcomputer.com
報導：BleepingComputer，「DIVD says Zammad zero-days enabled AI-driven network breach」（2026年9月30日）— bleepingcomputer.com

更新紀錄

2026-10-20：部分重新查核DIVD的兩個漏洞利用連結與揭露日期，以及開發者10月8日與15日的修補建議。更正了7.2.0的建議，並更正第二個修補未獲確認的說法。此次並未對外洩資料、數量或主管機關通報進行完整的重新查核。

2026-10-05：初版，依據DIVD的揭露（截至10月1日的更新）、開發者的聲明（10月1日）以及CISA的KEV新增（10月2日）撰寫。

FAQ

Q什麼是DIVD？

DIVD（Dutch Institute for Vulnerability Disclosure，荷蘭漏洞揭露機構）是荷蘭一個由志工營運的非營利資安組織。它尋找暴露在網際網路上且存在已知漏洞的系統，並通知其擁有者（漏洞揭露）。為此工作，它營運一個CSIRT（作為資安事件聯絡窗口的團隊）。

Q外洩了什麼？

根據DIVD，已確認志工的DIVD電子郵件地址遭竊取，志工的聯絡資訊可能也遭竊取。CSIRT工單系統中的部分資訊遭提取。DIVD要求任何曾與其CSIRT往來的組織或個人，假設攻擊者可能掌握這些資訊。這可能包括掃描資料的後續往來（包括易受攻擊系統的IP位址）、透過CSIRT信箱回報的漏洞，以及密碼已遮蔽的憑證傾印摘錄。在會計系統與銀行帳戶中未發現入侵跡象。截至2026年10月5日，調查仍在進行中。

QAI代理執行攻擊是什麼意思？

DIVD評估，入侵後的活動是由一個自動化AI代理執行，該代理會查看每個動作的結果，並自行決定下一步。作為證據，它引用攻擊者腳本中留下的註解，其中代理為自己的行動提供了理由。DIVD也將此活動描述為快速但粗糙且嘈雜。操作該代理的人是誰尚不清楚；DIVD表示，它沒有發現與任何已知公開威脅行為者有關聯。

Q哪些Zammad版本受影響？

DIVD描述CVE-2026-102489可在6.3.0至6.5.4中被利用。10月15日，開發者為已停止支援的6.5系列發布了緊急修補6.5.5。對於CVE-2026-102490，開發者10月8日的公告列出packager.io的DEB/RPM套件（至7.2.1）為受影響，7.2.2為已修補。原始碼安裝與官方容器映像不受此權限提升問題影響。利用此漏洞需要攻擊者已能以未特權的zammad服務帳號執行程式碼。

Q我使用Zammad，應該怎麼做？

10月15日，開發者強烈建議自架使用者升級至7.2.2。如果您使用6.5且無法立即遷移，請更新至6.5.5；它需要新的套件儲存庫，且不延長支援期限。它是針對CVE-2026-102489的緊急修補，並不能取代處理這兩個漏洞。請檢查您的安裝方式、審視網際網路暴露情況與入侵指標，若發現可疑痕跡，請輪替已儲存的憑證。

Q這些漏洞被加入KEV是什麼意思？

KEV（Known Exploited Vulnerabilities，已知遭利用漏洞）是美國網路安全與基礎設施安全局（CISA）的清單，收錄已確認在實際環境中遭利用的漏洞。CISA於2026年10月2日加入這兩個漏洞，並要求美國聯邦機關於10月5日前完成處置。它不對其他地區的組織產生法律義務，但常被用來決定哪些修補應優先處理。