Zammad — Agente de Inteligencia Artificial encadena Zero-Days para tomar control de sistemas (CVE-2026-102489)

Fecha de publicación: 01 de octubre de 2026
Categoría: Zero Days / Inteligencia de Amenazas

Introducción

El Instituto Neerlandés para la Divulgación de Vulnerabilidades (DIVD), una organización sin fines de lucro compuesta por investigadores de seguridad voluntarios dedicada a la divulgación responsable, sufrió recientemente un incidente de seguridad en su propia infraestructura interna. Irónicamente, los atacantes lograron comprometer los sistemas del DIVD utilizando dos vulnerabilidades de tipo zero-day previamente desconocidas en Zammad, la plataforma de código abierto de mesas de ayuda (helpdesk) utilizada internamente por la organización. Trabajando en conjunto con Merlon Security, el DIVD identificó los fallos rastreados como CVE-2026-102489 y CVE-2026-102490. Lo que hace excepcional a este ataque no es solo la naturaleza crítica de los fallos, sino la velocidad ultrasónica con la que se ejecutaron: un agente de inteligencia artificial orquestó la explotación en segundos, tomando decisiones autónomas y transitando desde un acceso inicial hasta privilegios de root sin intervención humana.

¿Qué es Zammad y las Vulnerabilidades Involucradas? (Análisis General)

Zammad es una plataforma web de atención al cliente y gestión de tickets de código abierto, ampliamente desplegada en entornos corporativos y de investigación para centralizar canales de comunicación (correo electrónico, chat, redes sociales). Al manejar un volumen masivo de metadatos sensibles de soporte y operaciones, una brecha en este componente representa un vector de entrada crítico hacia la red interna de cualquier organización.

En este incidente se identificaron y confirmaron dos fallos críticos en la arquitectura de la aplicación:

  • CVE-2026-102489: Vulnerabilidad de secuestro de sesión (session hijacking) presente en Zammad desde la versión 6.3.0 hasta la 6.5.4, la cual conduce directamente a la ejecución remota de código (RCE) bajo los privilegios del usuario del sistema operativo zammad. (Nota: Las versiones 7.0.0 a 7.1.3 también contienen la traza del código afectado, pero no resultan explotables debido a condiciones específicas del entorno).
    • Puntuación y Vector CVSS v4.0 (Confirmado NVD): 9.4 (CRITICAL) — CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:A/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:Y/R:X/V:C/RE:X/U:X
  • CVE-2026-102490: Vulnerabilidad de escalada de privilegios locales que afecta a todas las versiones de Zammad (incluyendo las alfas más recientes), permitiendo que el usuario local zammad escale privilegios de manera efectiva hasta el usuario root.
    • Puntuación y Vector CVSS v4.0 (Confirmado NVD): 9.4 (CRITICAL) — CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:A/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:Y/R:X/V:C/RE:X/U:X

¿Cómo funciona? (Análisis Técnico)

El mecanismo de ataque destaca un cambio de paradigma en las operaciones ofensivas: la incorporación de agentes autónomos basados en IA para la ejecución de cadenas de explotación complejas.

  • Flujo inicial de entrada y secuestro de sesión: El atacante (o en este caso, el agente de IA autónomo) interactúa inicialmente con la interfaz web de Zammad expuesta al exterior. Aprovechando el fallo de control de sesiones (CVE-2026-102489), el agente logra secuestrar una sesión activa o manipular el flujo de autenticación, permitiendo la inyección de comandos o la ejecución remota de código (RCE) directamente en el contexto del usuario del sistema operativo que ejecuta el demonio de la aplicación (zammad).
  • Escalada de privilegios automatizada: Una vez consolidado el acceso inicial como usuario no privilegiado (zammad), el agente de IA no requiere pausas cognitivas ni supervisión humana para analizar el entorno local. Inmediatamente ejecuta rutinas de reconocimiento y activa la segunda vulnerabilidad (CVE-2026-102490), logrando saltar de forma fluida los controles de aislamiento y obteniendo privilegios de superusuario (root) en cuestión de segundos.
  • Pivotaje y exfiltración de datos: Con el control total de la máquina a nivel de root, el agente procedió a interactuar con servicios adyacentes dentro de la red interna del DIVD. Aunque la rápida respuesta del equipo de respuesta a incidentes y la segmentación de red contuvieron el avance, el agente logró acceder y exfiltrar una porción de datos antes de que el servidor afectado fuera aislado de la red.

“Used together, they allowed the attackers to hijack sessions, run code remotely and escalate privileges from the Zammad user to root, in seconds, due to the agentic part of this hack.”

Sistemas / Entornos Afectados

Las organizaciones que despliegan la plataforma Zammad para la gestión de helpdesk se encuentran expuestas si operan versiones no parcheadas.

CVE Categoría / Tipo Impacto CVSS Vector (resumido)
CVE-2026-102489 Secuestro de Sesión / RCE Crítico (Ejecución de código como usuario zammad) 9.4 (CRITICAL) AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
CVE-2026-102490 Escalada de Privilegios Crítico (Escalada de zammad a root) 9.4 (CRITICAL) AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
  • Software afectado (CVE-2026-102489): Zammad versiones 6.3.0 hasta 6.5.4 (las versiones 7.0.0 a 7.1.3 contienen el código vulnerable pero no son explotables por condiciones del entorno).
  • Software afectado (CVE-2026-102490): Todas las versiones de Zammad, incluyendo compilaciones alfa recientes.
  • Perfil de riesgo: Servidores de helpdesk expuestos directamente a internet sin controles estrictos de acceso o segmentación perimetral adecuada.

Mitigación y Detección

Remediación

  • Actualización prioritaria: El equipo de desarrollo de Zammad y el DIVD recomiendan actualizar inmediatamente todas las instancias vulnerables a la versión 7 (considerada segura).
  • Aislamiento perimetral de emergencia: Si no es técnicamente viable aplicar el parche de forma inmediata, se debe desconectar la instancia de Zammad de internet (tomarla offline) para mitigar el riesgo de exposición a ataques automatizados.
  • Auditoría de logs: El DIVD ha puesto a disposición de la comunidad herramientas y scripts de verificación para analizar los registros en búsqueda de anomalías e indicios de abuso asociados a estos zero-days.

Detección

  • Monitorear de forma estricta las conexiones entrantes hacia endpoints web de Zammad que muestren patrones anómalos de manipulación de sesiones o solicitudes HTTP inusuales seguidas de ejecución de procesos del sistema.
  • Buscar trazas de actividad automatizada de alta velocidad donde las consultas y la ejecución de comandos locales ocurran con una diferencia de milisegundos, evidenciando el uso de agentes de IA o scripts de ataque altamente optimizados.
  • Vigilar la elevación repentina de privilegios desde el usuario del demonio de servicio hacia cuentas con privilegios administrativos (root).

Recapitulando

El incidente sufrido por el DIVD marca un hito crítico en la evolución del panorama de amenazas: la explotación activa de vulnerabilidades zero-day encadenadas mediante agentes autónomos de inteligencia artificial. Lejos de ser un riesgo meramente teórico, la capacidad de un agente de IA para analizar un entorno, encadenar fallos críticos de RCE y escalada de privilegios, y moverse lateralmente en cuestión de segundos demuestra que los equipos defensivos (Blue Teams) deben automatizar sus respuestas a la misma velocidad. La recomendación inmediata para la comunidad es parchear de inmediato a Zammad versión 7 o aislar los servicios expuestos.

Referencias