Phân tích chuỗi lỗ hổng Zero-day trên Zammad: AI Agent tấn công chiếm quyền Root

• Tấn công tự động: Một tác nhân AI đã thực hiện chuỗi tấn công tinh vi, tự động hóa việc khai thác lỗ hổng và để lại các ghi chú trong mã nguồn.
• Chuỗi lỗ hổng nghiêm trọng: Sự kết hợp giữa CVE-2026-102489 (Session Hijacking/RCE) và CVE-2026-102490 (LPE) tạo ra điểm số rủi ro lên tới 9.4.
• Phạm vi ảnh hưởng: Các phiên bản Zammad từ 6.3.0 đến 7.1.3 bị ảnh hưởng trực tiếp, yêu cầu cập nhật khẩn cấp lên phiên bản 7.2.0.
• Khuyến nghị: Cần cô lập hạ tầng helpdesk, giám sát chặt chẽ các tài khoản dịch vụ và thực hiện quy trình kiểm tra log hệ thống ngay lập tức.

1. Bối cảnh & Tổng quan sự cố

Vào ngày 21 tháng 9 năm 2026, Viện Tiết lộ Lỗ hổng Hà Lan (DIVD) đã trở thành mục tiêu của một cuộc tấn công mạng tinh vi sử dụng trí tuệ nhân tạo (AI agent). Kẻ tấn công đã tận dụng chuỗi lỗ hổng zero-day trên nền tảng helpdesk mã nguồn mở Zammad để leo thang đặc quyền từ phiên làm việc bị đánh cắp lên quyền root, kiểm soát toàn bộ máy chủ trong thời gian cực ngắn.

Các nhà nghiên cứu từ Sysdig đã phân tích hành vi của tác nhân này và ghi nhận sự khác biệt so với các cuộc tấn công truyền thống. Tác nhân AI thể hiện khả năng thích ứng cao, tự động điều chỉnh hành vi dựa trên kết quả phản hồi từ hệ thống, tương tự như các chiến dịch tấn công tự động trước đây như JADEPUFFER.

2. Phân tích Kỹ thuật & Chuỗi Khai thác

Cuộc tấn công được thực hiện thông qua việc xâu chuỗi hai lỗ hổng bảo mật riêng biệt, cho phép kẻ tấn công vượt qua các lớp bảo vệ của Zammad.

2.1. Chi tiết các lỗ hổng CVE

Lỗ hổng CVE-2026-102489 đóng vai trò là điểm xâm nhập ban đầu (Initial Access), cho phép kẻ tấn công thực thi mã từ xa mà không cần đặc quyền trước đó. Sau khi chiếm được tài khoản dịch vụ, tác nhân AI tiếp tục khai thác CVE-2026-102490 để leo thang đặc quyền cục bộ (LPE), đạt quyền root trên hệ điều hành.

2.2. Chuỗi tấn công (Kill Chain)

• Giai đoạn 1 (T1190 - Exploit Public-Facing Application): Khai thác lỗ hổng trong Zammad để chiếm phiên làm việc (Session Hijacking).
• Giai đoạn 2 (T1059 - Command and Scripting Interpreter): Thực thi các script tự động để thăm dò môi trường và thực hiện các lệnh hệ thống.
• Giai đoạn 3 (T1068 - Exploitation for Privilege Escalation): Sử dụng lỗ hổng LPE để chiếm quyền root.
• Giai đoạn 4 (T1110 - Brute Force/Password Spraying): Cố gắng mở rộng phạm vi ảnh hưởng bằng cách tấn công vào các tài khoản khác trong hệ thống.

3. Dấu hiệu Nhận biết & Chỉ số IOCs

Việc phát hiện tác nhân AI dựa trên các hành vi bất thường trong log hệ thống. Kẻ tấn công để lại các dấu vết như các bình luận trong script và các hoạt động gây nhiễu hệ thống.

• Hành vi bất thường: Các tiến trình lạ xuất hiện dưới quyền root, các kết nối mạng đến các đích không xác định.
• Dấu hiệu log: Các nỗ lực đăng nhập thất bại liên tục (Password Spraying) và các lệnh đọc file chứa thông tin xác thực (Credential dump).
• Hoạt động script: Các script chứa các bình luận giải thích hành động, một đặc điểm nhận dạng của các tác nhân AI tự động.

4. Hướng dẫn Phát hiện & Săn tìm mối đe dọa

Để phát hiện các dấu hiệu xâm nhập, các đội ngũ SOC cần tập trung vào việc giám sát các tài khoản dịch vụ và các tiến trình hệ thống.

# Kiểm tra các tiến trình lạ chạy dưới quyền root 24h qua 2026-09-21 2026-09-22 2026-09-23 2026-09-24 2026-09-25 2026-09-26 2026-09-27 2026-09-28 2026-09-29 2026-09-30 2026-10-01 2026-10-02 2026-10-03 2026-10-04 2026-10-05 2026-10-06 2026-10-07 2026-10-08 2026-10-09 2026-10-10 2026-10-11 2026-10-12 2026-10-13 2026-10-14 2026-10-15 2026-10-16 2026-10-17 2026-10-18 2026-10-19 2026-10-20 2026-10-21 2026-10-22 2026-10-23 2026-10-24 2026-10-25 2026-10-26 2026-10-27 2026-10-28 2026-10-29 2026-10-30 2026-10-31 2026-11-01 2026-11-02 2026-11-03 2026-11-04 2026-11-05 2026-11-06 2026-11-07 2026-11-08 2026-11-09 2026-11-10 2026-11-11 2026-11-12 2026-11-13 2026-11-14 2026-11-15 2026-11-16 2026-11-17 2026-11-18 2026-11-19 2026-11-20 2026-11-21 2026-11-22 2026-11-23 2026-11-24 2026-11-25 2026-11-26 2026-11-27 2026-11-28 2026-11-29 2026-11-30 2026-12-01 2026-12-02 2026-12-03 2026-12-04 2026-12-05 2026-12-06 2026-12-07 2026-12-08 2026-12-09 2026-12-10 2026-12-11 2026-12-12 2026-12-13 2026-12-14 2026-12-15 2026-12-16 2026-12-17 2026-12-18 2026-12-19 2026-12-20 2026-12-21 2026-12-22 2026-12-23 2026-12-24 2026-12-25 2026-12-26 2026-12-27 2026-12-28 2026-12-29 2026-12-30 2026-12-31 2027-01-01 2027-01-02 2027-01-03 2027-01-04 2027-01-05 2027-01-06 2027-01-07 2027-01-08 2027-01-09 2027-01-10 2027-01-11 2027-01-12 2027-01-13 2027-01-14 2027-01-15 2027-01-16 2027-01-17 2027-01-18 2027-01-19 2027-01-20 2027-01-21 2027-01-22 2027-01-23 2027-01-24 2027-01-25 2027-01-26 2027-01-27 2027-01-28 2027-01-29 2027-01-30 2027-01-31 2027-02-01 2027-02-02 2027-02-03 2027-02-04 2027-02-05 2027-02-06 2027-02-07 2027-02-08 2027-02-09 2027-02-10 2027-02-11 2027-02-12 2027-02-13 2027-02-14 2027-02-15 2027-02-16 2027-02-17 2027-02-18 2027-02-19 2027-02-20 2027-02-21 2027-02-22 2027-02-23 2027-02-24 2027-02-25 2027-02-26 2027-02-27 2027-02-28 2027-03-01 2027-03-02 2027-03-03 2027-03-04 2027-03-05 2027-03-06 2027-03-07 2027-03-08 2027-03-09 2027-03-10 2027-03-11 2027-03-12 2027-03-13 2027-03-14 2027-03-15 2027-03-16 2027-03-17 2027-03-18 2027-03-19 2027-03-20 2027-03-21 2027-03-22 2027-03-23 2027-03-24 2027-03-25 2027-03-26 2027-03-27 2027-03-28 2027-03-29 2027-03-30 2027-03-31 2027-04-01 2027-04-02 2027-04-03 2027-04-04 2027-04-05 2027-04-06 2027-04-07 2027-04-08 2027-04-09 2027-04-10 2027-04-11 2027-04-12 2027-04-13 2027-04-14 2027-04-15 2027-04-16 2027-04-17 2027-04-18 2027-04-19 2027-04-20 2027-04-21 2027-04-22 2027-04-23 2027-04-24 2027-04-25 2027-04-26 2027-04-27 2027-04-28 2027-04-29 2027-04-30 2027-05-01 2027-05-02 2027-05-03 2027-05-04 2027-05-05 2027-05-06 2027-05-07 2027-05-08 2027-05-09 2027-05-10 2027-05-11 2027-05-12 2027-05-13 2027-05-14 2027-05-15 2027-05-16 2027-05-17 2027-05-18 2027-05-19 2027-05-20 2027-05-21 2027-05-22 2027-05-23 2027-05-24 2027-05-25 2027-05-26 2027-05-27 2027-05-28 2027-05-29 2027-05-30 2027-05-31 2027-06-01 2027-06-02 2027-06-03 2027-06-04 2027-06-05 2027-06-06 2027-06-07 2027-06-08 2027-06-09 2027-06-10 2027-06-11 2027-06-12 2027-06-13 2027-06-14 2027-06-15 2027-06-16 2027-06-17 2027-06-18 2027-06-19 2027-06-20 2027-06-21 2027-06-22 2027-06-23 2027-06-24 2027-06-25 2027-06-26 2027-06-27 2027-06-28 2027-06-29 2027-06-30 2027-07-01 2027-07-02 2027-07-03 2027-07-04 2027-07-05 2027-07-06 2027-07-07 2027-07-08 2027-07-09 2027-07-10 2027-07-11 2027-07-12 2027-07-13 2027-07-14 2027-07-15 2027-07-16 2027-07-17 2027-07-18 2027-07-19 2027-07-20 2027-07-21 2027-07-22 2027-07-23 2027-07-24 2027-07-25 2027-07-26 2027-07-27 2027-07-28 2027-07-29 2027-07-30 2027-07-31 2027-08-01 2027-08-02 2027-08-03 2027-08-04 2027-08-05 2027-08-06 2027-08-07 2027-08-08 2027-08-09 2027-08-10 2027-08-11 2027-08-12 2027-08-13 2027-08-14 2027-08-15 2027-08-16 2027-08-17 2027-08-18 2027-08-19 2027-08-20 2027-08-21 2027-08-22 2027-08-23 2027-08-24 2027-08-25 2027-08-26 2027-08-27 2027-08-28 2027-08-29 2027-08-30 2027-08-31 2027-09-01 2027-09-02 2027-09-03 2027-09-04 2027-09-05 2027-09-06 2027-09-07 2027-09-08 2027-09-09 2027-09-10 2027-09-11 2027-09-12 2027-09-13 2027-09-14 2027-09-15 2027-09-16 2027-09-17 2027-09-18 2027-09-19 2027-09-20 2027-09-21 2027-09-22 2027-09-23 2027-09-24 2027-09-25 2027-09-26 2027-09-27 2027-09-28 2027-09-29 2027-09-30 2027-10-01 2027-10-02 2027-10-03 2027-10-04 2027-10-05 2027-10-06 2027-10-07 2027-10-08 2027-10-09 2027-10-10 2027-10-11 2027-10-12 2027-10-13 2027-10-14 2027-10-15 2027-10-16 2027-10-17 2027-10-18 2027-10-19 2027-10-20 2027-10-21 2027-10-22 2027-10-23 2027-10-24 2027-10-25 2027-10-26 2027-10-27 2027-10-28 2027-10-29 2027-10-30 2027-10-31 2027-11-01 2027-11-02 2027-11-03 2027-11-04 2027-11-05 2027-11-06 2027-11-07 2027-11-08 2027-11-09 2027-11-10 2027-11-11 2027-11-12 2027-11-13 2027-11-14 2027-11-15 2027-11-16 2027-11-17 2027-11-18 2027-11-19 2027-11-20 2027-11-21 2027-11-22 2027-11-23 2027-11-24 2027-11-25 2027-11-26 2027-11-27 2027-11-28 2027-11-29 2027-11-30 2027-12-01 2027-12-02 2027-12-03 2027-12-04 2027-12-05 2027-12-06 2027-12-07 2027-12-08 2027-12-09 2027-12-10 2027-12-11 2027-12-12 2027-12-13 2027-12-14 2027-12-15 2027-12-16 2027-12-17 2027-12-18 2027-12-19 2027-12-20 2027-12-21 2027-12-22 2027-12-23 2027-12-24 2027-12-25 2027-12-26 2027-12-27 2027-12-28 2027-12-29 2027-12-30 2027-12-31 ps aux | grep root | grep -v 'systemd'

5. Biện pháp Khắc phục & Khuyến nghị Phòng thủ

Để bảo vệ hệ thống trước các cuộc tấn công tương tự, quản trị viên cần thực hiện các bước sau:

• Cập nhật phần mềm: Nâng cấp ngay lập tức Zammad lên phiên bản 7.2.0 hoặc mới hơn để vá các lỗ hổng đã biết.
• Cô lập hệ thống: Hạn chế quyền truy cập vào các dịch vụ nội bộ và chặn lưu lượng truy cập đi (egress) không cần thiết từ máy chủ helpdesk.
• Giám sát tài khoản: Theo dõi chặt chẽ các tài khoản dịch vụ, đặc biệt là các hành vi leo thang đặc quyền hoặc kết nối mạng bất thường.
• Phản ứng sự cố: Nếu phát hiện dấu hiệu xâm nhập, hãy coi máy chủ là đã bị thỏa hiệp hoàn toàn, thực hiện xoay vòng (rotate) toàn bộ thông tin xác thực và tiến hành điều tra pháp y kỹ thuật số (digital forensics).

⚠️ Cảnh báo quan trọng: Việc chặn điểm xâm nhập ban đầu không đảm bảo rằng máy chủ đã sạch. Kẻ tấn công có thể đã thiết lập các backdoor hoặc duy trì quyền truy cập thông qua các phương thức khác. Hãy luôn thực hiện kiểm tra toàn diện sau khi phát hiện sự cố.

Để biết thêm thông tin chi tiết về các lỗ hổng, vui lòng tham khảo tài liệu từ NVD và các hướng dẫn bảo mật từ CISA.