DIVD reveló el 30 de septiembre que dos días cero de Zammad fueron utilizados en una intrusión ocurrida el 21 de septiembre. Su investigación sigue en curso, por lo que el relato debe considerarse preliminar. DIVD afirmó que un agente de IA encadenó los fallos en cuestión de segundos, mientras que la segmentación de la red limitó los movimientos posteriores dentro del entorno afectado.
Dos vulnerabilidades con funciones diferentes
CVE-2026-102489 puede permitir el secuestro de sesiones seguido de la ejecución remota de código como usuario del servicio zammad. Afecta a las versiones 6.3.0 a 6.5.4. El problema también está presente en las versiones 7.0.0 a 7.1.3, pero el registro proporcionado indica que no puede explotarse en ellas bajo las condiciones ambientales señaladas. Su puntuación CVSS comunicada es 9.4.
CVE-2026-102490 puede permitir que un usuario local de zammad eleve sus privilegios a root. Afecta a las versiones desde la 1.5.0 hasta las anteriores a 7.1.0-alpha, y los informes describían todas las versiones publicadas en el momento de la divulgación como afectadas. Su puntuación CVSS comunicada también es 9.4. En conjunto, los problemas ilustran por qué las debilidades en la capa de aplicación pueden ser relevantes para el panorama más amplio de la seguridad ciberfísica.
Respuesta mientras evolucionan las directrices
Los operadores deben seguir las directrices vigentes de Zammad y DIVD y aplicar una versión corregida cuando esté disponible. Mientras la investigación y las recomendaciones de remediación continúan evolucionando, aislar los sistemas vulnerables puede reducir la exposición. El supuesto uso de un agente de IA se basa en el relato preliminar del incidente ofrecido por DIVD; no debe generalizarse como una afirmación más amplia sobre la capacidad o la automatización de los atacantes. Los defensores deben centrarse en los límites verificados de las vulnerabilidades, las vías de acceso, la segmentación y las pruebas observables en sus propios entornos.
Deja una respuesta