Hollanda merkezli güvenlik kuruluşu Institute for Vulnerability Disclosure (DIVD), kullandığı Zammad destek platformundaki iki sıfır gün açığıyla düzenlenen siber saldırıda veri kaybı yaşadı. Saldırganların kullanıcı oturumlarını ele geçirdiği, uzaktan kod çalıştırdığı ve saniyeler içinde root yetkisine ulaştığı bildirildi.
Ele geçirilen veriler arasında DIVD gönüllülerinin e-posta adresleri ve muhtemelen başka iletişim bilgileri de bulunuyor. Hangi gönüllülerin hangi verilerinin etkilendiğine yönelik inceleme sürüyor. DIVD, bu bilgilerin sosyal mühendislik girişimlerinde kullanılabileceği uyarısı yaparak kuruluş çalışanı veya gönüllüsü gibi davranan kişilerden gelen mesajlara ve iletişim taleplerine karşı dikkatli olunmasını istedi.
Zammad’daki iki güvenlik açığı birlikte kullanıldı
Saldırıda CVE-2026-102489 ve CVE-2026-102490 numaralı açıkların zincirleme kullanıldığı belirtildi. Her iki açık da bu senaryoda CVSS 4.0 ölçeğinde 9,4 puan aldı. İlk açık, kimlik doğrulaması olmadan uzaktan kod çalıştırılmasına ve kullanıcı oturumlarının ele geçirilmesine imkân tanıyor. İkinci açık ise sistemde yerel kullanıcı yetkisi bulunan bir saldırganın yetkisini root seviyesine yükseltmesine olanak veriyor.
CVE-2026-102489, Zammad’ın 6.3.0–6.5.4 sürümlerini etkiliyor. DIVD, açığın 7.0.0–7.1.3 sürümlerinde de bulunduğunu, ancak mevcut ortam koşulları nedeniyle bu sürümlerde istismar edilemediğini belirtti. CVE-2026-102490 ise Zammad’ın tüm sürümlerini etkiliyor.
DIVD, Zammad kullanan kuruluşlara sürüm 7’ye yükseltme yapmalarını veya sistemi geçici olarak çevrimdışı bırakmalarını önerdi.
Saldırı 21 Eylül’de başladı
Kuruluşun paylaştığı zaman çizelgesine göre saldırı 21 Eylül’de gerçekleşti. Saldırganlar iki sıfır gün açığını kullanarak DIVD’nin BT altyapısına girdi. DIVD, saldırganların varlığını ertesi gün fark etti; ardından veri merkezindeki tüm sistemlere erişimi kesti ve Merlon Security ile birlikte bir olay müdahale ekibi kurdu.
DIVD, 24 Eylül’de Zammad’daki açıkları üreticiye bildirdi. Aynı gün Hollanda Veri Koruma Kurumu ve Ulusal Siber Güvenlik Merkezi bilgilendirildi; polisle olası adımlar hakkında görüşüldü.
Kuruluş, yaklaşık yedi yılın ardından bu kez “hack’lenen hacker’lar” olduklarını ifade etti. Olayın rahatsız edici olduğunu belirten DIVD, süreci açık ve şeffaf biçimde yürütme yaklaşımını sürdüreceğini açıkladı.
DIVD, saldırının AI ajanıyla yürütülmüş olabileceğini düşünüyor
DIVD ekibi, daha önce benzer bir çalışma biçimiyle karşılaşmadıklarını ve saldırının ajan tabanlı yapay zekâ tarafından gerçekleştirilmiş olabileceğini öne sürdü. Kuruluşa göre operasyon gürültülü ve dağınık ilerledi. Sistem kayıtlarında, her işlemden sonra bir sonraki adımın otomatik olarak seçildiği görüldü. Saldırı çok hızlı gerçekleşirken bazı kararların mantıksal açıdan özensiz kaldığı belirtildi.
İncelemede saldırı betiklerine eklenmiş açıklama notları da bulundu. DIVD, kod yorumlarının saldırganın eylemlerini gerekçelendirdiğini ve bunun klasik bir insan saldırısından çok AI destekli otomatik bir süreci andırdığını değerlendirdi. Ancak bu, teknik davranışlara dayalı bir şüphe olarak aktarıldı; saldırının arkasında otonom bir AI ajanı bulunduğunu kesin biçimde doğrulayan bağımsız bir kanıt paylaşılmadı.
Olayın paylaşılması güvenlik araştırmacılarından övgü aldı
Soruşturma sürerken saldırıyı kısa sürede kamuoyuna açıklayan DIVD’nin şeffaflığı güvenlik araştırmacılarından olumlu yorumlar aldı. VulnCheck araştırmacısı Patrick Garrity, devam eden bir olayın ayrıntılarının açıkça paylaşılmasını takdir etti. Garrity, bu yaklaşımın aynı ürünü kullanan diğer kuruluşların saldırıya uğramadan önce önlem almasına yardımcı olabileceğini belirtti.
