El Centro Holandés de Divulgación de Vulnerabilidades (DIVD) ha reportado dos vulnerabilidades de día cero en Zammad, el sistema de tickets de código abierto ampliamente utilizado por equipos de soporte y mesas de ayuda en todo el mundo. El incidente, que involucra las vulnerabilidades CVE-2026-102489 y CVE-2026-102490, resultó en el compromiso de la sesión, ejecución remota de código, escalada a privilegios de root y exfiltración de datos en el propio entorno de DIVD. La organización evaluó que un agente de inteligencia artificial estuvo involucrado en el ataque, y que la secuencia completa hasta obtener acceso root tomó apenas segundos. Este caso es especialmente relevante para México y Latinoamérica, donde Zammad es utilizado por empresas y gobiernos para gestionar solicitudes ciudadanas y soporte técnico, y donde la adopción de inteligencia artificial en ciberseguridad está en auge.
Detalles del ataque encadenado
Según el informe de DIVD, el ataque combinó dos vulnerabilidades para lograr un compromiso total. La primera, CVE-2026-102489, permite el secuestro de sesión y la ejecución remota de código. La segunda, CVE-2026-102490, permite la escalada de privilegios locales desde el usuario zammad hasta root. DIVD reportó que la secuencia desde el acceso inicial hasta el control total del sistema tomó solo segundos, lo que sugiere un alto grado de automatización. La organización evaluó que un agente de inteligencia artificial estuvo involucrado, lo que subraya la creciente amenaza de ataques acelerados por IA.
El caso, actualizado el 1 de octubre de 2026, describe el papel de cada CVE, pero los materiales revisados no establecen las solicitudes de ataque detalladas ni el alcance completo de los datos exfiltrados. DIVD ha indicado que los elementos no confirmados se detallan en la sección 14 de su archivo de caso, titulada “Preguntas no resueltas e investigación adicional”.
Impacto en las organizaciones
Zammad no es un simple sistema de soporte; consolida tickets, archivos adjuntos, información de usuarios, tokens de API y comunicaciones internas. Por lo tanto, un compromiso de Zammad se extiende mucho más allá de una mera interrupción del servicio de soporte. Los atacantes podrían acceder a datos sensibles de clientes, credenciales de acceso a otros servicios y conversaciones internas, lo que representa un riesgo significativo para la privacidad y la seguridad de las organizaciones.
En el entorno de DIVD, los atacantes lograron acceso a otros servicios y exfiltraron datos. Aunque no se ha especificado la magnitud exacta de la fuga, la naturaleza de la información almacenada en Zammad hace que cualquier brecha sea potencialmente grave.
Recomendaciones y limitaciones
DIVD recomienda actualizar a la versión 7 de Zammad o, en su defecto, poner la instancia fuera de línea. Sin embargo, la migración a la versión 7 no debe considerarse una solución completa para ambas vulnerabilidades. Es crucial verificar la versión y aislar el sistema, así como examinar las sesiones web, los procesos de Zammad, la adquisición de privilegios de root, las transmisiones salientes y la autenticación a otros servicios en una línea de tiempo unificada.
Dado que se anticipa una aceleración impulsada por IA, las organizaciones deben automatizar o preaprobar los procedimientos de contención, asumiendo que el retraso entre las alertas y la aprobación manual equivale a un mayor alcance de la brecha. La velocidad del ataque (segundos) hace que la respuesta manual sea insuficiente.
Contexto de ciberseguridad en Latinoamérica
Este incidente resalta la necesidad de que las empresas latinoamericanas refuercen sus defensas, especialmente aquellas que utilizan sistemas de tickets para gestionar datos sensibles. La región ha visto un aumento en ataques cibernéticos, y la adopción de IA por parte de los atacantes plantea nuevos desafíos. La recomendación de DIVD de priorizar la verificación de versiones y el aislamiento es aplicable a cualquier organización que use Zammad, incluidas las mexicanas.
Además, la participación de un agente de IA en el ataque subraya la importancia de integrar defensas automatizadas y de responder con la misma velocidad que los atacantes. La inteligencia artificial puede ser un arma de doble filo, y las organizaciones deben estar preparadas para contrarrestar ataques automatizados.
Pasos inmediatos para mitigar el riesgo
- Verificar la versión de Zammad: Si no es la 7, actualizar o aislar la instancia.
- Aislar el sistema: Si no se puede actualizar de inmediato, desconectar Zammad de la red hasta aplicar parches.
- Revisar registros: Examinar sesiones web, procesos, accesos root, transmisiones salientes y autenticaciones a otros servicios.
- Automatizar la contención: Implementar procedimientos automáticos para responder a alertas, reduciendo el tiempo de reacción.
- Monitorear IoC: Utilizar la herramienta de verificación de indicadores de compromiso proporcionada por DIVD.
La actualización a la versión 7 es un paso necesario, pero no suficiente. Las organizaciones deben evaluar si sus datos estuvieron expuestos y tomar medidas adicionales, como rotar credenciales y notificar a los afectados.
Conclusión
El incidente de Zammad reportado por DIVD es un recordatorio de que las vulnerabilidades de día cero pueden ser explotadas en cuestión de segundos, especialmente cuando se combinan con inteligencia artificial. Para México y Latinoamérica, donde la transformación digital avanza rápidamente, es fundamental priorizar la seguridad de los sistemas de gestión de tickets y adoptar estrategias de defensa proactivas. La actualización a la versión 7 y el aislamiento son medidas urgentes, pero la verdadera lección es la necesidad de automatizar la respuesta y mantener una vigilancia constante.
