في 21 سبتمبر 2026 دخل مهاجم إلى شبكة المعهد الهولندي للإفصاح عن الثغرات (DIVD)، وهو مجموعة متطوعين تنبّه المؤسسات إلى البرامج المعرّضة للخطر. وكان الطريق مكتب الدعم الخاص بالمعهد نفسه. تقول صفحة الحادثة لدى DIVD إن ثغرتين مجهولتين في Zammad، نظام التذاكر مفتوح المصدر الذي كان يستخدمه، سمحتا معًا باختطاف الجلسات وتنفيذ تعليمات برمجية عن بُعد ورفع الصلاحيات من مستخدم Zammad إلى root، "في ثوانٍ بسبب الجانب الوكيلي من هذا الاختراق".
يعتقد DIVD أن وكيل ذكاء اصطناعي نفّذ الهجوم. فقد حملت سكربتات المهاجم ملاحظات يشرح فيها الوكيل لماذا ما يفعله مقبول، وهو أمر لا يكلّف المهاجم البشري نفسه به. ويصف DIVD الهجوم بأنه "صاخب وفوضوي جدًا"، إذ كان الوكيل يختار كل خطوة تالية بنفسه بسرعة وبمنطق متسرّع. لم يؤكد أحد من خارج DIVD الجانب المتعلق بالذكاء الاصطناعي، ويقول المعهد إنه لا يرى صلة بأي جهة تهديد معروفة. أوقف تقسيم الشبكة تقدّم المهاجم، لكن عناوين البريد الإلكتروني للمتطوعين وربما بيانات الاتصال بهم تسرّبت.
ما نعرفه عن الثغرتين
- CVE-2026-102489 (اختطاف جلسة يؤدي إلى تنفيذ تعليمات بصلاحيات مستخدم zammad). يذكر ملف القضية لدى DIVD أن الإصدارات من 6.3.0 إلى 6.5.4 قابلة للاستغلال، وأن الإصدارات من 7.0.0 إلى 7.1.3 تحتوي الخلل لكنه غير قابل للاستغلال بسبب ظروف البيئة. ويتفق بيان Zammad في 1 أكتوبر على أن الإصدار 6.5 وما قبله فقط قابل للاستغلال، ويشير إلى أن هذه الإصدارات خارج الدعم، وأن الشيفرة المعنية عُزّزت في الإصدار 7.2.0.
- CVE-2026-102490 (رفع صلاحيات محلي من مستخدم zammad إلى root). يذكر DIVD الإصدارات من v1.5.0 إلى v7.1.0-alpha. وقالت Zammad في 1 أكتوبر إنها تلقّت التفاصيل التقنية للتو وتعمل عليها، وإن الثغرة لا تُستغل عن بُعد وحدها، فالمهاجم يحتاج أولًا إلى وصول إلى الخادم. وأضافت Zammad في نشرتها الأمنية في 5 أكتوبر أن المشكلة مرتبطة بثغرة مؤكدة في packager.io، الخدمة التي تُبنى بها حزم Zammad لنظام لينكس، وأن الحل قيد العمل. ولم يغطّها Zammad 7.2.1 الذي صدر في 6 أكتوبر مع مجموعة من النشرات الأمنية. وصدر الإصلاح بعد يومين في Zammad 7.2.2 في 8 أكتوبر. وتذكر نشرة GitHub أن كل الإصدارات حتى 7.2.1 متأثرة، لكن فقط في التثبيت من حزم DEB وRPM، أما التثبيت من الشيفرة المصدرية وصور الحاويات الرسمية فلم يتأثر.
ونشر المركز الوطني الهولندي للأمن السيبراني تنبيهًا في 30 سبتمبر يفيد بأن الثغرتين تُستغلان فعليًا منذ 21 سبتمبر، وأضافتهما CISA إلى قائمة الثغرات المستغلة المعروفة في 2 أكتوبر 2026.
لماذا يُعد مكتب الدعم مدخلًا مناسبًا للمهاجم
مكتب الدعم مكشوف على الإنترنت عن قصد، فالعملاء والموظفون يجب أن يصلوا إليه دون VPN. وخلف تلك الصفحة العامة يحتفظ بجلسات الموظفين وكلمة مرور صندوق بريد الدعم ومرفقات يرسلها غرباء، وغالبًا رموز ربط مع الدليل والأنظمة الداخلية الأخرى. من يحصل على root في ذلك الخادم يرى جزءًا كبيرًا من المؤسسة.
الجانب الوكيلي مهم من حيث التوقيت. إن صحّت قراءة DIVD، فالانتقال من "صفحة دخول عامة" إلى "root" استغرق ثوانٍ، لا الساعات التي يحتاجها مهاجم بشري. نافذة تحديث تُقاس بالأسابيع كانت خطرة أصلًا، وأمام أدوات تربط الثغرات بهذه السرعة صارت أطول من اللازم. وقد كتبنا عن الجانب الآخر من وكلاء الذكاء الاصطناعي، أي الأدوات التي يحمّلونها، في قائمة فحص خوادم MCP الخبيثة.
قائمة فحص لأي مكتب دعم مستضاف ذاتيًا
- اعرف إصدارك اليوم. في Zammad انتقل إلى 7.2.2، الإصدار الحالي، الذي يصلح CVE-2026-102490 ويتضمن إصلاحات مجموعة من مشكلات الأمان الأخرى المعلنة في 6 أكتوبر. وما زالت نصيحة Zammad قائمة: اقصر الدخول إلى سطر أوامر الخادم على المسؤولين الموثوقين. وفي أي منتج تأكد أن إصدارك ما زال يتلقى تحديثات الأمان.
- انسخ السجلات قبل التحديث. هذه نصيحة المركز الهولندي كي تتمكن من فحص الاستغلال لاحقًا. ويمكن لمستخدمي Zammad تشغيل سكربت مؤشرات الاختراق من DIVD على ملفات السجل.
- أبعِد واجهة الموظفين عن الإنترنت المفتوح. بوابة العملاء والبريد الوارد فقط يجب أن يكونا عامّين. ضع دخول الموظفين خلف VPN أو وكيل عكسي محمي بالدخول الموحد أو قائمة عناوين IP مسموحة.
- اعزل خادم مكتب الدعم. يجب ألا يصل إلا إلى الأنظمة المرتبطة به، لا إلى المجلدات المشتركة أو إدارة الدليل. ويعزو DIVD محدودية الضرر إلى هذا العزل.
- شغّل التطبيق بأقل صلاحيات ممكنة. مستخدم غير root داخل حاوية بلا صلاحيات إضافية يترك لثغرة root محلية القليل لتستغله.
- إن كنت مكشوفًا على إصدار متأثر، فغيّر كل ما يحتفظ به مكتب الدعم: جلسات الموظفين، ورموز API، وكلمة مرور صندوق البريد، وأسرار الربط.
- نبّه العملاء إلى انتحال الهوية. يشير DIVD إلى أن بيانات المتطوعين المسرّبة تسهّل انتحال صفة المعهد. وسجل التذاكر المسرّب يفعل الشيء نفسه لمن ينتحل صفة فريق الدعم لديك.
أين يأتي دور FanDesk
FanDesk هو مكتب الدعم من فانبينو، ولن نستخدم حادثة غيرنا لنقول إن شيفرتنا بلا أخطاء. في سبتمبر 2026 أبلغ باحث عن مشكلة XSS مخزّنة في FanDesk عبر مرفقات PDF، ونشرنا ما غيّرناه. يعمل FanDesk في حاويات يمكنك وضعها في جزء معزول من شبكتك، وقائمة الفحص أعلاه تنطبق عليه بالطريقة نفسها. اطّلع على FanDesk.
الأسئلة الشائعة
ماذا حدث لـDIVD؟
في 21 سبتمبر 2026 استخدم مهاجم ثغرتين غير معروفتين في مكتب دعم Zammad لدى المعهد للوصول إلى root ثم إلى خدمات أخرى. وتقول صفحة الحادثة إن عناوين بريد المتطوعين وربما بيانات الاتصال بهم أُخذت.
ما إصدارات Zammad المتأثرة؟
بالنسبة إلى CVE-2026-102489 يقول DIVD وZammad إن الإصدار 6.5 وما قبله قابل للاستغلال، وتوصي Zammad بالإصدار 7.2.0. أما CVE-2026-102490 فيذكر DIVD أنه يشمل معظم الإصدارات، وأصلحتها Zammad في الإصدار 7.2.2 في 8 أكتوبر (تأثر التثبيت من حزم DEB وRPM فقط). حدّث إلى 7.2.2 وقيّد من يستطيع الدخول إلى الخادم.
هل كان وكيل ذكاء اصطناعي فعلًا؟
هذا تقييم DIVD، استنادًا إلى سكربتات يعلّق فيها الوكيل على أفعاله ويبرّرها. ولم يؤكده أحد من خارج المعهد.
هل يتأثر غير Zammad من أنظمة الدعم؟
الثغرتان خاصتان بـZammad، لكن الدرس عام: كل مكتب دعم مكشوف بطبيعته ويحتفظ بجلسات وكلمات مرور بريد ورموز ربط، لذا يستحق الإصدار ودرجة الانكشاف وعزل الشبكة الفحص نفسه.
انطبقت القاعدة نفسها بعد أسبوع على بوابات VPN: بعد ثغرات NetScaler، كان التحديث نصف المهمة فقط وكان لا بد من تبديل أسرار الجهاز.
