روز ۳۰ شهریور ۱۴۰۵ (۲۱ سپتامبر ۲۰۲۶) مهاجمی وارد شبکه مؤسسه افشای آسیب‌پذیری هلند (DIVD) شد؛ گروهی داوطلب که به سازمان‌ها درباره نرم‌افزارهای آسیبپذیر هشدار می‌دهد. راه ورود، میز خدمت خود DIVD بود. صفحه حادثه DIVD می‌گوید دو نقص ناشناخته در Zammad، سامانه تیکتینگ متن‌بازی که استفاده می‌کرد، با هم امکان ربودن نشست، اجرای کد از راه دور و ارتقای دسترسی از کاربر Zammad به root را دادند، آن هم «در چند ثانیه، به خاطر بخش عامل‌محور این حمله».
DIVD معتقد است یک عامل هوش مصنوعی حمله را اجرا کرده. در اسکریپت‌های مهاجم یادداشت‌هایی بود که عامل در آنها توضیح می‌دهد چرا کارش اشکالی ندارد؛ کاری که مهاجم انسانی زحمتش را نمی‌کشد. DIVD حمله را «پرسروصدا و خیلی شلخته» توصیف کرده و می‌گوید عامل هر قدم بعدی را خودش، سریع و با منطقی سرسری انتخاب می‌کرد. هیچ‌کس بیرون از DIVD بخش هوش مصنوعی را تأیید نکرده و DIVD ارتباطی با گروه مهاجم شناخته‌شده‌ای نمی‌بیند. تفکیک شبکه جلوی پیشروی بیشتر را گرفت، اما نشانی‌های ایمیل داوطلبان و احتمالاً اطلاعات تماسشان بیرون رفت.
درباره دو نقص چه می‌دانیم
- CVE-2026-102489 (ربودن نشست و اجرای کد با کاربر zammad). پرونده DIVD نسخههای 6.3.0 تا 6.5.4 را قابل بهره‌برداری می‌داند و نسخههای 7.0.0 تا 7.1.3 را دارای نقص اما به‌دلیل شرایط محیطی غیرقابل بهره‌برداری. بیانیه Zammad در ۹ مهر هم می‌گوید فقط 6.5 و قدیمیتر قابل سوءاستفادهاند، این نسخهها دیگر پشتیبانی نمی‌شوند، و کد مربوط در نسخه 7.2.0 مقاوم‌تر شده است.
- CVE-2026-102490 (ارتقای دسترسی محلی از کاربر zammad به root). DIVD نسخههای v1.5.0 تا v7.1.0-alpha را فهرست کرده. Zammad در ۹ مهر گفت تازه جزئیات فنی را دریافت کرده و روی آن کار میکند، و این نقص به‌تنهایی از راه دور قابل استفاده نیست: مهاجم اول باید به سرور دسترسی داشته باشد. Zammad در اطلاعیه امنیتی ۱۳ مهر اضافه کرد که این مشکل به یک آسیب‌پذیری تأییدشده در packager.io، سرویسی که بسته‌های لینوکسی Zammad با آن ساخته می‌شوند، مربوط است و راه‌حل در دست کار است. Zammad 7.2.1 که ۱۴ مهر با مجموعه‌ای از اطلاعیه‌های امنیتی منتشر شد این CVE را پوشش نمی‌داد. وصله دو روز بعد آمد: Zammad 7.2.2 در ۱۶ مهر. اطلاعیه GitHub همه نسخهها تا 7.2.1 را آسیبپذیر می‌داند، اما فقط نصب‌هایی که از بسته‌های DEB و RPM انجام شده‌اند؛ نصب از سورس و ایمیج‌های رسمی کانتینر تحت تأثیر نبودند.
مرکز ملی امنیت سایبری هلند در هشدار ۸ مهر اعلام کرد هر دو نقص از ۳۰ شهریور فعالانه مورد سوءاستفاده بوده‌اند، و CISA هر دو را در ۱۰ مهر به فهرست آسیب‌پذیری‌های بهره‌برداری‌شده اضافه کرد.
چرا میز خدمت راه ورود خوبی است
میز خدمت عمداً رو به اینترنت است؛ مشتری و کارمند باید بدون VPN به آن برسند. پشت همین صفحه عمومی، نشست کارشناسان، رمز صندوق ایمیل پشتیبانی، پیوست‌هایی که غریبه‌ها فرستاده‌اند و اغلب توکن اتصال به سامانه‌های دیگر نگهداری می‌شود. هر کس روی آن سرور root بگیرد، بخش بزرگی از سازمان را می‌بیند.
بخش عامل‌محور برای زمان‌بندی مهم است. اگر برداشت DIVD درست باشد، فاصله «صفحه ورود عمومی» تا «root» چند ثانیه بوده، نه چند ساعتی که یک مهاجم انسانی لازم دارد. پنجره بهروزرسانی چندهفته‌ای از قبل هم پرخطر بود؛ در برابر ابزاری که نقص‌ها را این‌قدر سریع زنجیر میکند، خیلی طولانی است. درباره طرف دیگر عامل‌های هوش مصنوعی، یعنی ابزارهایی که بارگذاری می‌کنند، در چک‌لیست سرورهای MCP مخرب نوشته‌ایم.
چک‌لیست برای هر میز خدمت روی سرور خودتان
- همین امروز نسخه را بدانید. در Zammad به 7.2.2، نسخه فعلی، بروید که CVE-2026-102490 را وصله میکند و مجموعه‌ای از مشکلات امنیتی دیگر را هم که ۱۴ مهر اعلام شد برطرف میکند. توصیه Zammad هنوز پابرجاست: دسترسی شل به سرور را فقط به مدیران مورد اعتماد بدهید. در هر محصولی مطمئن شوید نسخه‌تان هنوز وصله امنیتی می‌گیرد.
- قبل از بهروزرسانی از لاگ‌ها نسخه بگیرید. توصیه مرکز امنیت سایبری هلند است تا بعداً بشود سوءاستفاده را بررسی کرد. کاربران Zammad می‌توانند اسکریپت نشانه‌های نفوذ DIVD را روی لاگ‌ها اجرا کنند.
- رابط کارشناسان را از اینترنت باز دور کنید. فقط پرتال مشتری و ایمیل ورودی باید عمومی باشند. ورود کارشناسان را پشت VPN، پراکسی معکوس با SSO یا فهرست مجاز IP بگذارید.
- سرور میز خدمت را جدا کنید. فقط باید به سامانه‌هایی برسد که با آنها یکپارچه است، نه به پوشه‌های اشتراکی یا مدیریت دایرکتوری. DIVD محدود ماندن آسیب را مدیون همین تفکیک می‌داند.
- برنامه را با کمترین دسترسی اجرا کنید. کاربر غیر root داخل کانتینری بدون قابلیت اضافه، برای یک نقص root محلی چیز کمتری باقی می‌گذارد.
- اگر روی نسخه آسیبپذیر و در معرض بودید، هر چه میز خدمت نگه می‌دارد را عوض کنید: نشست کارشناسان، توکن‌های API، رمز صندوق ایمیل و کلیدهای اتصال.
- به مشتریان درباره جعل هویت هشدار دهید. DIVD می‌گوید داده نشت‌کرده داوطلبان، جا زدن خود به‌جای DIVD را آسان‌تر میکند. تاریخچه تیکت‌های نشت‌کرده هم همین کار را برای کسی میکند که خود را تیم پشتیبانی شما جا بزند.
FanDesk کجای این کار است
FanDesk میز خدمت فنپینو است و قرار نیست از حادثه دیگران برای ادعای بی‌نقص بودن کد خودمان استفاده کنیم. چندی پیش یک پژوهشگر یک مشکل XSS ذخیره‌شده از طریق پیوست PDF در FanDesk گزارش کرد و ما آنچه تغییر دادیم را منتشر کردیم. FanDesk در کانتینرهایی اجرا می‌شود که می‌توانید در بخش جداگانه شبکه خودتان بگذارید، و چک‌لیست بالا عیناً برای آن هم صدق میکند. FanDesk را ببینید.
پرسش‌های متداول
چه اتفاقی برای DIVD افتاد؟
روز ۳۰ شهریور ۱۴۰۵ مهاجمی با دو نقص روز صفر در میز خدمت Zammad مؤسسه به root و بعد به سرویس‌های دیگر رسید. صفحه حادثه DIVD می‌گوید نشانی ایمیل داوطلبان و احتمالاً اطلاعات تماسشان برده شده است.
کدام نسخههای Zammad آسیبپذیرند؟
برای CVE-2026-102489 هم DIVD و هم Zammad میگویند 6.5 و قدیمیتر قابل سوءاستفادهاند و Zammad نسخه 7.2.0 را توصیه میکند. برای CVE-2026-102490، DIVD تقریباً همه نسخهها را فهرست کرده و Zammad آن را در نسخه 7.2.2 در ۱۶ مهر وصله کرد (فقط نصبهای بسته DEB و RPM آسیبپذیر بودند). به 7.2.2 بهروزرسانی کنید و ورود به سرور را محدود کنید.
آیا واقعاً یک عامل هوش مصنوعی بود؟
این ارزیابی DIVD است، بر اساس اسکریپتهایی که عامل در آنها کارهای خودش را توضیح و توجیه میکند. کسی بیرون از DIVD آن را تأیید نکرده است.
آیا میز خدمت‌های دیگر هم درگیرند؟
این دو CVE مخصوص Zammad هستند، اما درسشان نه: هر میز خدمتی ذاتاً عمومی است و نشست، رمز ایمیل و توکن اتصال نگه می‌دارد، پس نسخه، میزان در معرض بودن و تفکیک شبکه را باید همین‌طور بررسی کرد.
همین قاعده یک هفته بعد برای gatewayهای VPN هم صدق کرد: بعد از نقص‌های روز صفر NetScaler، وصله فقط نیمی از کار بود و رازهای دستگاه باید عوض می‌شد.
