DIVD bị khai thác qua lỗ hổng zero-day trong Zammad
"The Dutch Institute for Vulnerability Disclosure (DIVD) was breached through two zero-day vulnerabilities in the Zammad helpdesk platform, enabling session hijacking, remote code execution as the zammad user, and privilege escalation to root. The incident led to theft of volunteer contact data, and the vendor-advised remediation is to upgrade to Zammad version 7 or take affected systems offline; the flaws are tracked as CVE-2026-102489 and CVE-2026-102490."
Hai zero-day cho phép RCE và leo thang lên root; dữ liệu liên hệ bị lộ làm tăng rủi ro mạo danh và phishing.
Có thể gây gián đoạn hệ thống ticket/helpdesk, phát sinh chi phí ứng phó sự cố và ảnh hưởng uy tín tổ chức nếu dữ liệu liên hệ bị lạm dụng.
Theo báo cáo sự cố, Dutch Institute for Vulnerability Disclosure (DIVD) đã bị xâm nhập thông qua hai lỗ hổng zero-day trong Zammad, nền tảng helpdesk và ticket hỗ trợ mã nguồn mở. Chuỗi khai thác cho phép kẻ tấn công chiếm quyền phiên đăng nhập, thực thi mã từ xa với tài khoản zammad, rồi leo thang đặc quyền lên root chỉ trong vài giây.
DIVD cho biết dữ liệu bị đánh cắp gồm địa chỉ email của các tình nguyện viên nghiên cứu bảo mật và có thể cả thông tin liên hệ khác. Tổ chức này cảnh báo nguy cơ social engineering tăng lên vì kẻ tấn công có thể mạo danh nhân sự DIVD.
Hai lỗi được gán mã CVE-2026-102489 và CVE-2026-102490, đều có CVSS 4.0: 9.4 trong kịch bản tấn công chuỗi. DIVD khuyến nghị người dùng nâng cấp lên Zammad 7 hoặc đưa hệ thống bị ảnh hưởng offline. Theo thông báo, CVE-2026-102489 ảnh hưởng các bản 6.3.0 đến 6.5.4 và cũng tồn tại trên 7.0.0 đến 7.1.3 nhưng không khai thác được trong một số điều kiện môi trường; còn CVE-2026-102490 ảnh hưởng mọi phiên bản Zammad.
Với đội vận hành, cần ưu tiên kiểm tra nhật ký, xoay vòng thông tin xác thực và xác minh các yêu cầu liên hệ bất thường từ địa chỉ communications@divd.nl.