AI agentləri təhlükəsizlik araşdırıcılarının DIVD təşkilatını vurdular və könüllülərin e-poçtlarını oğurladılar

Hollandiyanın zəiflikləri aşkarlama institutu (DIVD) zəiflikləri ovlayan qeyri-kommersiya təşkilatıdır. 21 sentyabrda hücumçular kömək platforması Zammad-ın iki naməlum zəifliyi ilə vurdular. Hücumun nəticəsində könüllü araşdırıcıların məlumatları, o cümlədən DIVD-in e-poçt ünvanları oğurlanıb. DIVD-ə görə, hücumun modus operandi agent AI tərəfindən idarə olunan əməliyyatı göstərir.

Nə baş verdi

Zəifliklərin zəncirvari istifadəsi sessiyanın ləğvindən root icazələrinə qədər saniyələrdə artdı. CVE-2026-102489 avtorlaşdırılmamış hücumçuza uzaqdan kod icrası və sessiyalar əldə etmək imkanı verir, CVE-2026-102490 isə istifadəçini root səviyyəsinə qədər imkanlarla təmin edir. Hər iki zəifliyin zəncirvari ssenaridə CVSS 4.0 balı 9,4-dür; identifikatorları DIVD, CVE nömrələrini təşkil edən orqan özü təyin etdi.

Zammad-ın 6.3.0-6.5.4 versiyaları CVE-2026-102489-a qarşı həssasdır; 7.0.0-7.1.3 versiyalarında zəiflik mövcuddur, lakin DIVD-in bildirisinə görə, mühit şəraitinə görə istifadəsi mümkün deyil. CVE-2026-102490 bütün versiyaları təsir altına alır. DIVD bütün istifadəçilərə Zammad-ı 7-ci versiyaya qədər yeniləmək və ya sistemi söndürməyi tövsiyə edir.

Xronologiya və reaksiya

Hücum 21 sentyabrda baş verdi. DIVD hücumçuları ikinci gün, 22 sentyabrda aşkar etdi, məlumat mərkəzinin bütün sistemlərini söndürdü və Merlon Security ilə birlikdə reaksiya qurmuşdu. 24 sentyabrda təşkilat Zammad-ın geliştiricilərini zəifliklər haqqında xəbər etdi, hadisə ilə bağlı məlumatların qorunması orqanı və milli kibertəhlükəsizlik mərkəzini xəbər etdi və polislə sonrakı addımları müzakirə etdi. Eyni gün LinkedIn-də ilk açıq bildiriş də yayımlandı: „Yeddi il çəkdi, amma indi deyə bilərik ki, hackerlərdir ki, vurdular“.

Agent AI-ın izləri

DIVD bildirir: „Bu, bizim hələ ki görəcəyimiz bir hücumdur. Yalnız ilk olmasına görə deyil, lakin modus operandi agent AI tərəfindən həyata keçirilən hücumu göstərir“.

DIVD-nin təsvirinə görə, hücum „səsli və çox qaydasız“ idi, agent isə avtomatik işlədi: hər əməliyyatdan sonra növbəti addımı özü qərarlaşdırdı, „işıq sürəti və sarsılmaz mantiqlə“. Skriptlərə daxil edilmiş qeydlər də aşkar edildi. DIVD-nin sözlərinə görə, bu da agent AI-nı göstərir: „Bu fişinq olmadığına dair əsaslandırmaq üçün skriptə qeydlər kim qoyar?“ AI tapşırığı qəbul etdi və koddakı şərhlərlə öz addımlarını davamlı əsaslandırır.

Oğurlanmış məlumatlar və şəffaflıq

DIVD hələ ki hansı könüllünün hansı məlumatlarının oğurlanmasını aşkarlayır. DIVD-nin sözlərinə görə, bu sosial mühəndislik riskini artırır: kimsə özünü DIVD nümayəndəsi kimi daha asan göstərə bilər. DIVD adından gələn bir qədər şübhəli məktubu [email protected] ünvanına yazaraq yoxlaya bilərsiniz.

Təhlükəsizlik araşdırmacıları DIVD-nin şəffaflığını təriflədi. VulnCheck araşdırmacısı Patrick Garrity-nin sözlərinə görə, təşkilat hadisəyə qeyri-adi açıq və şərəflə cavab verdi və məlumatı sürətli yaydı ki, başqaları vaxtında hərəkət edə bilsin: „Bütün təşkilatların öz təhlükəsizlik hadisələri zamanı da belə şəffaflığı olardı“.