네덜란드의 비영리 보안 연구단체 DIVD(취약점 공개 연구소)가 자체 네트워크 침해 사고의 원인을 공개했습니다. 오픈소스 헬프데스크·티켓팅 시스템인 Zammad에 존재하던 두 개의 제로데이(사전에 알려지지 않은) 취약점이 연쇄적으로 악용된 것이 원인이었습니다. 특히 이번 공격은 사람이 직접 조작한 것이 아니라 AI 에이전트가 스스로 판단해 자율적으로 공격을 이어간 것이어서 "시끄럽고 매우 지저분했다"고 표현될 정도로 순식간에 진행됐습니다. 공격자는 세션 탈취, 원격 코드 실행(RCE), 권한 상승을 통해 root 권한까지 확보했고, 다른 서비스에 접근해 데이터를 유출하는 전 과정이 단 몇 초 만에 이뤄졌습니다. 다행히 네트워크 분리와 신속한 대응 덕분에 공격자가 내부망 더 깊숙이 침투하지는 못했으며, DIVD는 Zammad 이용자들에게 버전 7로 업그레이드하거나 인스턴스를 즉시 오프라인으로 전환할 것을 권고했습니다.
DIVD의 네트워크가 오픈소스 티켓팅 시스템 Zammad의 제로데이 취약점 2건(CVE-2026-102489, CVE-2026-102490)을 연쇄 악용한 공격으로 침해됐다.
세션 탈취, 원격 코드 실행, root 권한 상승이 가능했고 실제로 데이터 접근·유출까지 이어졌다. 다만 네트워크 분리 덕분에 추가 확산은 막았다.
AI 에이전트가 자율적으로 취약점을 연쇄 악용하며 사람의 개입 없이 판단·실행을 반복해 공격 속도가 극도로 빨랐다.
DIVD는 Merlon Security와 협력해 취약점을 발견하고 Zammad에 통보했으며, 이용자들에게 버전 7 업그레이드 또는 인스턴스 오프라인 전환을 권고했다.
AI 기반 자율 공격은 수 초 만에 권한 상승과 데이터 유출까지 완료할 수 있으므로, 패치 적용 속도와 네트워크 분리 같은 기본 방어체계가 더욱 중요해졌다.
본문
네덜란드 취약점 공개 연구소(DIVD)는 자사 네트워크 침해가 오픈소스 티켓팅 시스템인 Zammad의 제로데이 취약점 두 건이 연쇄적으로 악용되면서 가능했다고 밝혔다.
앞서 이 자원봉사 보안 연구자들의 비영리 단체는 이번 공격이 "시끄럽고 매우, 매우 지저분했다"며, 외부의 개입이나 지시 없이 스스로 다음 행동을 결정하며 자율적으로 움직인 AI 에이전트가 주도한 공격이었다고 설명한 바 있다.
DIVD는 이번 공격에 대한 상세한 정보를 확보할 수 있었는데, 이는 AI 에이전트가 자신의 판단 근거를 명확하게 남겨두었기 때문이며, 덕분에 조직은 사고 경위를 재구성할 수 있었다.
이 사이버보안 비영리단체에 따르면, CVE-2026-102489와 CVE-2026-102490으로 식별된 이 두 취약점은 세션 하이재킹(가로채기), 원격 코드 실행(RCE, 원격에서 시스템을 마음대로 실행할 수 있는 공격), root 권한으로의 권한 상승을 가능하게 했다.
이 취약점들을 악용한 후, 공격자는 다른 서비스에 접근해 DIVD 시스템에서 데이터를 읽고 유출할 수 있었으며, 이 모든 작업은 AI 자동화 덕분에 단 몇 초 만에 이루어졌다.
"이 두 취약점을 함께 사용하면 공격자는 세션을 하이재킹하고, 코드를 원격으로 실행하고, Zammad 사용자 권한에서 root 권한으로 상승시킬 수 있었으며, 이 모든 것이 이번 해킹의 에이전트적 특성으로 인해 단 몇 초 만에 이루어졌다"고 DIVD는 밝혔다.
네트워크 분리와 사고 대응 조치 덕분에 위협 행위자는 네트워크 내부로 더 깊숙이 이동하지 못했다. 다만 조사는 여전히 진행 중이다.
Zammad는 고객 문의, IT 지원 요청, 내부 티켓 관리를 위해 사용되는 오픈소스 AI 기반 헬프데스크·고객지원 티켓팅 플랫폼이다.
이 솔루션은 자체 호스팅 또는 호스팅 서비스 형태로 제공되며, Zammad는 자사 웹사이트에서 De'Longhi, Amnesty International, NextCloud를 포함해 2,000개 이상의 고객사와 55,000명의 사용자를 보유하고 있다고 밝히고 있다.
DIVD는 Merlon Security와 협력해 이 제로데이 취약점들을 발견했다. 이 단체는 Zammad에 해당 문제를 통보했으며, 취약한 인스턴스를 사용 중인 다른 이용자들에게도 경고하고 있다.
이 비영리단체는 Zammad 이용자들에게 안전한 것으로 간주되는 버전 7로 업그레이드하거나, 가능한 한 빨리 인스턴스를 오프라인으로 전환할 것을 권고한다.
DIVD는 내일 이번 사고에 관한 추가 업데이트를 공유하겠다고 약속했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
