ב-21 בספטמבר 2026 נפרצה הרשת של DIVD, המכון ההולנדי לגילוי חולשות, דרך שתי חולשות יום-אפס במערכת הכרטיסים Zammad. השרשור שלהן נתן session של משתמש, הרצת קוד על השרת, ואז הרשאות root. לפי DIVD הכול קרה תוך שניות, כי בצד התוקף עמד סוכן AI שהחליט לבד על כל צעד.

סקירה כללית

Zammad היא מערכת כרטיסי תמיכה בקוד פתוח שארגונים מתקינים על שרת משלהם, עם מעל 2,000 לקוחות לפי החברה. כמו כל תוכנת שרת בלינוקס היא רצה בחשבון מוגבל משלה, שנקרא כאן zammad, ולא בהרשאות המלאות של המכונה. זה המרחק שהמתקפה ביטלה.

CVE-2026-102489 מאפשרת להשיג session תקף של משתמש בלי להתחבר למערכת, ומשם להריץ קוד בהרשאות חשבון zammad. לסוג הזה קוראים Session Fixation, קביעה מראש של מזהה ה-session שהקורבן יקבל, והסיווג הוא CWE-384. CVE-2026-102490 לא שווה דבר לבדה: היא מאפשרת לחשבון zammad המקומי להסלים ל-root, כלומר רק למי שכבר על השרת. ביחד הן מתקפה שלמה, וכך CISA כתבה בשתי הרשומות.

מזהה: CVE-2026-102489 ו-CVE-2026-102490
סוג: Session Fixation (CWE-384) וניהול שגוי של הרשאות (CWE-269)
מוצר: Zammad
גרסאות מושפעות: 102489 מ-6.3.0 עד 6.5.4, וגם 7.0.0 עד 7.1.3 שבהן הניצול נכשל. 102490 מ-1.5.0 ועד 7.1.0-alpha
גרסה מתוקנת: 7.2.0 לפי Zammad. DIVD ממליצה מעבר לענף 7 או הורדת המערכת מהרשת
ניצול בפועל: כן, שתיהן ב-KEV של CISA מ-2 באוקטובר 2026

ציר זמן

21 בספטמבר 2026: החולשות מנוצלות לפריצה לרשת של DIVD.
22 עד 24 בספטמבר 2026: DIVD משחזרת את הניצול ומדווחת ל-Zammad.
26 בספטמבר 2026: DIVD סורקת מכונות Zammad חשופות ומתריעה לבעליהן.
30 בספטמבר 2026: שני ה-CVE מתפרסמים ב-NVD.
2 באוקטובר 2026: שתיהן נכנסות לקטלוג ה-KEV של CISA, עם תאריך יעד 5 באוקטובר.

איך הניצול עובד

ההגנה על session נשענת על הנחה אחת: המזהה שהשרת מנפיק נשאר סוד בין הדפדפן לשרת. מי שמנצל את חולשת ה-Session Fixation לא גונב מזהה קיים, הוא דואג שהקורבן יקבל מזהה שהתוקף כבר מכיר, ומאז השרת רואה את שניהם כאותו משתמש. ב-Zammad הגישה הזאת ממשיכה להרצת קוד בהרשאות חשבון zammad, ושם החולשה השנייה הופכת אותו ל-root. לפי Zammad החלק הראשון עובד רק על 6.5 ומטה, בגלל סביבת ההרצה שלהן.

ניתוח ציון ה-CVSS

ציון CVSS: 9.8

NVD נתנה 9.8 לכל אחת בנפרד, גם להסלמה המקומית שאי אפשר להגיע אליה מהרשת בלי הראשונה, ו-DIVD נתנה לשתיהן 9.4 לפי גרסה 4.0 של התקן. ציון נמדד על חולשה אחת בכל פעם, והתוקף עובד על שרשרת.

איפה למצוא Proof of Concept (PoC)

אין PoC פומבי לאף אחת מהשתיים, כי DIVD השאירה את הפרטים הטכניים בגילוי מוגבל. Zammad עצמה כתבה ב-1 באוקטובר שטרם קיבלה אותם, ובהמשך אותו יום עדכנה שהגיעו. הצד ההגנתי דווקא פומבי: עמוד המקרה DIVD-2026-00015 מתאר את השרשרת ומציע סקריפט לבדיקת לוגים שמחפש סימני ניצול בלוגים של Zammad ו-nginx.

DIVD ראתה את השרשרת עובדת על הרשת שלה תשעה ימים לפני שה-CVE פורסם. מי שמריץ ענף 6 חשוף לאותה שרשרת, ותאריך היעד של CISA הוא 5 באוקטובר.