El Instituto Neerlandés para la Divulgación de Vulnerabilidades, conocido como DIVD, se dedica a encontrar fallas de seguridad y avisar a las empresas afectadas. Esta vez le tocó estar del otro lado: unos atacantes entraron a sus sistemas usando dos fallas desconocidas de Zammad, y según DIVD el trabajo dentro de su red lo hizo un agente de IA.
Zammad es una plataforma de código abierto para atender tickets de soporte, muy usada por mesas de ayuda. Si tú o un cliente la tienen instalada, esta nota te interesa.
¿Qué pasó?
Según el reporte del propio DIVD, el acceso no autorizado empezó el 21 de septiembre de 2026. Al día siguiente detectaron la actividad sospechosa y arrancaron su respuesta al incidente. El 24 de septiembre lo hicieron público y avisaron a Zammad de las fallas.
La primera falla, CVE-2026-102489, permite secuestrar una sesión y ejecutar comandos en el servidor como el usuario de Zammad. Afecta a las versiones 6.3.0 a 6.5.4; las versiones 7.0.0 a 7.1.3 también tienen el error, pero DIVD indica que ahí no se puede aprovechar.
La segunda, CVE-2026-102490, deja que esa cuenta local de Zammad se convierta en administrador total del sistema operativo. DIVD dice que afecta a todas las versiones, incluida la alfa más reciente, y Help Net Security reportó que todavía no había corrección disponible.
Lo más llamativo es cómo se movió el atacante. DIVD describe un agente de IA rápido pero descuidado: dejaba comentarios en sus scripts justificando lo que hacía y llegó a estorbar su propio ataque al lanzar intentos masivos de contraseñas al mismo tiempo. Esa torpeza dejó muchas pistas para el análisis. La separación de su red evitó que llegara más lejos, aunque se expusieron correos de voluntarios y posiblemente otros datos de contacto.
¿Por qué te importa?
Una mesa de ayuda guarda conversaciones con clientes, datos personales y a veces contraseñas que alguien pegó en un ticket. Si un atacante toma el servidor, tiene acceso a todo eso.
El caso también muestra hacia dónde van los ataques: un agente de IA puede probar muchas cosas en poco tiempo, aunque cometa errores. Para quien administra servidores, eso significa menos margen entre que se publica una falla y que alguien intenta aprovecharla.
¿Qué puedes hacer?
- Revisa si tienes Zammad instalado y en qué versión. Si estás en la rama 6, DIVD recomienda pasar a la versión 7 o apagar el servicio.
- Antes de actualizar, guarda una copia de los registros de la aplicación y de la red, como pide DIVD, por si necesitas investigar después.
- Usa el script de revisión que publicó DIVD en su caso DIVD-2026-00015 para buscar señales de que tu servidor fue atacado.
- Si no necesitas que Zammad esté abierto a internet, déjalo solo en tu red interna o detrás de una VPN.
- Sigue los avisos de seguridad de Zammad en GitHub para aplicar la corrección de la segunda falla en cuanto salga.
Fuentes
- DIVD: DIVD-2026-00014 – When, not if…
- DIVD: DIVD-2026-00015 – Vulnerabilities in Zammad
- Help Net Security: AI agent used Zammad zero-days to breach Dutch vulnerability disclosure non-profit
Imagen de portada: foto de panumas nikhomkhai en Pexels.