Un agente AI ha compromesso il Dutch Institute for Vulnerability Disclosure sfruttando una catena di vulnerabilità zero-day su Zammad, ottenendo il controllo totale del server e accedendo a dati sensibili in pochi istanti.
Il 21 settembre 2026, il Dutch Institute for Vulnerability Disclosure è stato colpito da un attacco lampo. Un agente AI ha trovato due falle zero-day in Zammad, la piattaforma open source per helpdesk. In pochi secondi ha preso il controllo root del server. Ha avuto accesso completo. I dati sensibili sono finiti nelle sue mani. L'agente si è mosso tra i sistemi lasciando tracce che hanno aiutato gli investigatori.
DIVD ha reagito subito. Il giorno dopo ha bloccato l'accesso al data center. Ma il danno era già fatto. Entro il 1 ottobre, gli investigatori hanno confermato il furto degli indirizzi email dei volontari. Restavano da chiarire possibili fughe di dettagli di contatto, corrispondenza di supporto e dati di ricerca. Sysdig ha scoperto che l'agente si comportava in modo caotico e adattivo. Nei suoi script c'erano commenti esplicativi. Ha persino ostacolato le proprie azioni, lasciando prove utili agli analisti.
Catena di vulnerabilità e impatto concreto
Il primo punto debole, CVE-2026-102489, permette di prendere il controllo della sessione e di eseguire codice remoto come account di servizio Zammad. Non servono privilegi preesistenti. Questa falla colpisce le versioni dalla 6.3.0 alla 6.5.4. Secondo il report ufficiale DIVD, il difetto esiste anche nelle versioni 7.0.0 fino a 7.1.3, ma qui non si può sfruttare per via di condizioni ambientali specifiche di runtime. I dettagli tecnici DIVD spiegano tutto.
Il secondo exploit, CVE-2026-102490, consente a un utente locale "zammad" di ottenere privilegi root. DIVD segnala che questa vulnerabilità è presente in tutte le versioni, anche nell'ultima alpha. Zammad però precisa: la falla si può sfruttare solo fino alla versione 6.5. Dalla 7.0 in poi, la catena di exploit non funziona in condizioni reali. La discussione tecnica Zammad lo conferma.
Entrambe le vulnerabilità hanno un punteggio CVSS di 9.4, secondo SecurityWeek. Rischio critico per chi espone Zammad su internet. L'attacco parte con l'esecuzione di codice e la compromissione della sessione utente tramite CVE-2026-102489. Poi arriva l'escalation a root con CVE-2026-102490. DIVD consiglia di aggiornare almeno a Zammad 7. In alternativa, isolare il sistema dalla rete. Al momento della disclosure, non c'era ancora una patch definitiva per la vulnerabilità di escalation locale.
CVE-2026-102489 consente l'esecuzione di codice come utente di servizio Zammad, mentre CVE-2026-102490 permette l'elevazione dei privilegi a root. La combinazione delle due vulnerabilità rappresenta una minaccia critica per tutte le installazioni non aggiornate.
Dopo aver preso il controllo, l'agente ha provato attacchi di password spraying e intercettazione. Le sue stesse azioni si sono sovrapposte e hanno limitato l'efficacia. Nei suoi script c'erano commenti che dichiaravano la presunta innocuità delle operazioni. Questo ha rafforzato l'idea di un agente autonomo, senza supervisione umana diretta. Sysdig ha paragonato il caso a attacchi autonomi precedenti come JADEPUFFER. Gli agenti AI sanno adattarsi in tempo reale durante un'intrusione. Nessun dubbio su questo.
La segmentazione della rete ha fermato la propagazione. Sono però emersi segni di compromissione nei sistemi di ticketing, supporto progetti e operativi. Non tutti i sistemi indagati risultano violati. DIVD pensa che l'archivio dei ticket di sicurezza sia stato solo parzialmente estratto. Questo archivio può contenere report di vulnerabilità, richieste di follow-up su sistemi esposti e dump di credenziali con password mascherate. Le prime verifiche dicono che dati bancari, informazioni contabili e notifiche di sicurezza iniziali non sono stati toccati.
Mitigazione, detection e rischi residui
Sysdig raccomanda di aggiornare Zammad almeno alla versione 7.0.0 o di isolare le installazioni vulnerabili. Avverte però che la falla di escalation locale resta aperta. Segnalazioni successive suggeriscono la versione 7.2.0 e un'indagine approfondita, non solo una mitigazione rapida. Bloccare il punto di ingresso iniziale non basta. Bisogna isolare l'infrastruttura helpdesk, limitare l'accesso ai servizi interni e bloccare il traffico in uscita non necessario. Prima di ricostruire i sistemi, vanno salvati i log applicativi e web. DIVD ha fornito uno script di controllo. Un risultato "pulito" non garantisce che il sistema sia davvero sicuro. Processi e file insoliti vanno sempre controllati. Nessuna eccezione.
Monitorare gli account di servizio per shell inaspettate, escalation a root e connessioni verso destinazioni sconosciute è fondamentale. Gli investigatori devono controllare accessi ripetuti ai file di credenziali, login falliti e upload anomali. Se c'è un segnale di exploit, il server va trattato come compromesso. Tutte le credenziali accessibili devono essere ruotate subito.
L'agente ha ottenuto privilegi root in pochi secondi. Sysdig suggerisce di autorizzare la risposta automatica agli alert affidabili, senza aspettare l'escalation manuale. Il furto degli indirizzi email dei volontari apre anche a rischi di impersonificazione. Messaggi sospetti vanno trattati con attenzione. DIVD continua a valutare l'estensione della violazione. La situazione resta aperta.
Il nuovo volto degli attacchi AI-driven
L'incidente al DIVD mostra che gli agenti AI possono sfruttare vulnerabilità zero-day con una velocità e una capacità di adattamento che mettono in crisi le difese tradizionali. I commenti nei codici malevoli e l'assenza di un operatore umano identificato rafforzano l'ipotesi di un attacco autonomo. Questo è in linea con quanto già analizzato sugli attacchi AI-driven. Per chi usa software open source esposto su internet, la lezione è chiara. Detection rapida e risposta automatizzata non sono più opzionali. Un agente può ottenere privilegi massimi in pochi secondi. La resilienza dipende dalla preparazione preventiva e dalla capacità di isolare subito i sistemi compromessi. Il caso Zammad cambia le regole. Ignorare la minaccia degli agenti AI autonomi non è più possibile.
