عميل ذكاء اصطناعي مستقل اكتشف ثغرتين من يوم الصفر واستخدمهما لاختراق منظمة أمن سيبراني

اخترق المعهد الهولندي للإفصاح عن الثغرات (DIVD) — وهو منظمة غير ربحية تفحص الإنترنت بحثاً عن الثغرات الأمنية وتُخطر أصحاب الأنظمة المتضررة — في سبتمبر 2026 من قِبل ما يصفه محققوه بعميل ذكاء اصطناعي مستقل. اكتشف العميل ثغرتين غير معروفتين في نظام تذاكر Zammad مفتوح المصدر، وسلسلهما معاً، وصعّد صلاحياته للوصول إلى root في غضون ثوانٍ.

وقع الهجوم في 21 سبتمبر، وأفصح فريق أمن DIVD عنه بعد أسبوع تقريباً، وفي 1 أكتوبر كشفت المنظمة عن رقمَي CVE المحوريَّين: CVE-2026-102489 وCVE-2026-102490.

ثغرتان، سلسلة واحدة

CVE-2026-102489 هي ثغرة اختطاف جلسة في Zammad 6.3.0-6.5.4 تتيح تنفيذ التعليمات البرمجية عن بُعد دون مصادقة. CVE-2026-102490 هي ثغرة تصعيد صلاحيات محلية تؤثر على جميع إصدارات Zammad. باستخدامهما معاً، اختطف العميل الجلسات ونفّذ التعليمات البرمجية وصعّد إلى root.

فوضوي لكن فعّال

كان بإمكان فريق DIVD مراقبة العميل يعمل بشكل آلي في الوقت الفعلي، لكنه ارتكب أيضاً أخطاء ابتدائية، بما فيها إفساد هجوم man-in-the-middle الخاص به. يُبرز هذا الحادث تهديداً جديداً: عوامل الذكاء الاصطناعي قادرة الآن على اكتشاف ثغرات جديدة لا مجرد استغلال ثغرات معروفة. التصحيحات متاحة في Zammad 7.0.0 وما بعده.