RCE בסוכן ה-AI של Zammad: תג תבנית מקונן ותיקון של אות אחת

Zammad, מערכת מוקד התמיכה בקוד פתוח, שחררה את גרסה 7.1.2 ב-4 באוגוסט 2026 עם שמונה עשרה תיקוני אבטחה; הראשון ברשימה סוגר פרצת הרצת קוד מרחוק בשדות התצורה של תכונת AI Agent שלה. החולשה היא CVE-2026-84462, שנחשפה בהודעת GitHub GHSA-gp3x-9xm8-rcj6 באותו יום, וטווח ההשפעה שלה הוא כל התקנה באחסון עצמי בגרסה עד 7.1.1 כולל. מנהל שיכול ליצור או לערוך AI Agent יכול היה להזין טקסט שנבנה במיוחד באחד משדות הסוכן, לעקוף את המסנן שנועד לנטרל אותו, ולהריץ פקודות שרירותיות בשרת שמארח את Zammad — עם הפוטנציאל, בלשון ההודעה, "לקרוא, לשנות או להשמיד את כל הנתונים המאוחסנים בשרת הזה". אין צורך שמשתמש אחר יפעל: בהודעה נאמר כי "הקוד הזדוני פועל אוטומטית בפעם הבאה שה-AI Agent הפגוע מעבד פנייה". GitHub מדרגת אותה כגבוהה ב-8.6 לפי CVSS 4.0. הרשומה, תגי החומרה והנזק שלה, והרשומות שנרשמו סביבה נשמרים בthe Orca AI Incident Archive, שמפרט את התקרית הזו לצד שאר הסדרה.

מה שההנחיה קובעת

הייעוץ של GitHub, שפורסם ב-4 באוגוסט 2026, קצר ומפורט באופן יוצא דופן בנוגע למנגנון ולתנאים המקדימים. הוא מתאר "מסנן אבטחה שמגן על תצורת ה-AI Agent של Zammad" אשר "ניתן לעקוף על ידי הזנת טקסט שנבנה במיוחד לאחד מהשדות של AI Agent", והוא מציין את הגורם במדויק: "מנהל מערכת עם הרשאה ליצור או לערוך AI Agents יכול לנצל זאת כדי להריץ פקודות שרירותיות בשרת שמארח את Zammad." הטווח המושפע מתועד עד וכולל גרסה 7.1.1, והגרסה המתוקנת היא 7.1.2. המדווח שזוכה הוא colinthebomb1; חשבון המפרסם הוא fliebe92. הייעוץ אינו מפרסם הוכחת היתכנות או פרטי ניצול.

GitHub מדרג את הפגם כגבוה, 8.6 לפי CVSS 4.0, עם הווקטור AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H וללא שינוי היקף. בקריאה מילולית, זה אומר שהפגם נגיש דרך הרשת במורכבות נמוכה, ללא דרישות תקיפה וללא אינטראקציית משתמש, על ידי תוקף שכבר מחזיק בהרשאות גבוהות בתוך היישום, עם השפעה גבוהה על הסודיות, השלמות והזמינות של מופע ה-Zammad עצמו. הודעת הייעוץ מונה שלוש חולשות: CWE-20, אימות קלט לא תקין; CWE-94, הזרקת קוד; ו-CWE-1336, מחלקת מנוע התבניות ש-MITRE מגדיר ככישלון בנטרול תחביר מיוחד "שיכול להתפרש כביטויי תבנית או כהוראות קוד אחרות כאשר הוא מעובד על ידי המנוע."

התיקון שינה אות אחת

התיקון הציבורי הוא הקומיט e3b0c8df91ad2108c8305be23e8fe6f73fb9718d, שנשלח עם ההודעה "תחזוקה: שיפור ה-ERB sanitizer." GitHub רושם תאריך מחבר של 7 ביולי 2026 ותאריך קומיט של 3 באוגוסט 2026, יום אחד לפני ההתראה והשחרור. הוא נוגע בשני קבצים: שורה אחת של lib/erb_sanitizer.rb, וארבעה עשר שורות מפרט שנוספו.

השורה האחת היא כל התיקון. המתודה escape_tag השתמשה ב-sub של Ruby, שמחליף את ההתאמה הראשונה של תבנית במחרוזת; כעת היא משתמשת ב-gsub, שמחליף כל התאמה. בשתי הגרסאות ההחלפה זהה: פותח שנכתב כ-<% הופך ל-<%%, הצורה המוכפלת ש-ERB, מנוע התבניות של Ruby, מציג כטקסט מילולי במקום להעריך. הודעת הייעוץ לא מציינת איזה שדה ב-AI Agent נושא את התבנית; הקומיט מזהה את המסנן שהיה אמור להפוך את התבנית הזו ללא-פעילה.

באמצעות sub, רק הפותח הראשון במחרוזת נוטרל. מטען שמציב פותח שני מיד לאחר הראשון שורד את הסינון: <%<%= 1 + 1 %> הופך ל-<%%<%= 1 + 1 %>, כאשר ERB פולט את הפותח המוביל כטקסט ואז מעריך את התג הפנימי. מפרט הרגרסיה שנוסף באותו קומיט מכנה את התחבולה בפשטות — "עם פותח מקונן שהוברח בתוך תג יחיד (עקיפת escape-all-openers)" — וקובע שגם <%<%= 1 + 1 %> וגם <%<%<%= 1 + 1 %> המקונן פעמיים חייבים להיות מוצגים כטקסט מילולי. המפרט הזה הוא התיאור הציבורי הברור ביותר של האופן שבו עקפו את הסינון, משום שהייעוץ עצמו אינו מספק שום תיאור.

צורתו של הבאג אינה מוזרות ייחודית של Zammad אלא גנרית: מנגנון escape שמפסיק לאחר ההתאמה הראשונה מובס על ידי כל קלט הנושא עותק שני ומקונן של הרצף שהוא מסיר. הודעת הקומיט מכנה את השינוי "תחזוקה", וזו הדרך שבה מהלך בדרך כלל תיקון הקשחה של תו בודד — ולכן דווקא פרסום האבטחה, ולא הדיף, היה חייב לשאת את האזהרה.

שבעה שבועות מהתראה ל-NVD

NVD פרסמה את הרשומה שלה עבור CVE-2026-84462 ב-25 בספטמבר 2026, שבעה שבועות לאחר הייעוץ, ועדכנה אותה לאחרונה ב-28 בספטמבר. הרשומה מסומנת "Deferred", כלומר הסוכנות לא פרסמה ניתוח משלה, ובלוק המדדים שלה מייחס את הציון 8.6 לכתובת security-advisories@github.com כמדד משני — הניקוד של GitHub כרשות המספור של CVE, ולא הערכה עצמאית של NVD. באותה רשומה אין כלל תצורת CPE, ולכן היא אינה ממפה את הפגיעות למזהה מוצר עם גרסה.

שני הפרטים חשובים לכל מי שעוקב אחר תוכנה באחסון עצמי באמצעות פידים ולא באמצעות הערות שחרור. התיקון היה פומבי ובר-יישום ב-4 באוגוסט; הרשומה הקריאה-למכונה הגיעה ב-25 בספטמבר; וגם אז היא הגיעה בלי מזהה המוצר שסורקים מבוססי CPE משתמשים בו להתאמה. במשך שבעה שבועות, התיאור הסמכותי של הפגם היה הייעוץ של הספק והערת השחרור של הספק.

מה מבוסס, ומה לא

מבוסס: ייעוץ האבטחה, הגרסה המתוקנת, ציון CVSS ושינוי הקוד — כולם מגיעים מ-Zammad וממאגר ייעוצי האבטחה של GitHub, והם תואמים זה לזה. הרשומה של NVD משחזרת את התיאור של רשות המספור בלי להוסיף ניתוח משלה. הארכיון מדרג את הערך ברמת ביטחון A על בסיס זה, כאשר האירוע אינו שנוי במחלוקת.

לא הוכח, או לא תועד: אין הוכחת היתכנות בהודעת האבטחה ואין דיווח על ניצול בשטח. ה-EPSS של FIRST מעניק ל-CVE-2026-84462 הסתברות של 0.28 אחוז לניצול בשלושים הימים הבאים, באחוזון ה-20, בציון שפורסם ב-29 באוקטובר 2026. הארכיון אינו מתעד נזק ממשי, ומסווג את הרשומה בחומרה בינונית — מתחת לרצועת High של הודעת האבטחה עצמה. אלה כלים נפרדים העונים על שאלות שונות — מה הפגם יאפשר לעומת מה שידוע שהתרחש — והכתבה הזו מדווחת על שניהם במקום ליישב ביניהם.

אימות בלתי־תלוי הוא דל. חיפוש אחר סיקור של CVE זה מחזיר מסדי נתונים של פגיעויות שמפרסמים מחדש את הטקסט של רשות המספור, בתוספת הערת השחרור של Zammad עצמה; לא נראה שאף כלי תקשורת דיווח על הפגם באופן בלתי־תלוי. זהו ממצא הנוגע לתיעוד, ולא ביקורת עליו: הרצת קוד מרחוק בדסק עזרה שמחייבת חשבון מנהל אינה סוג האירוע שמייצר סיקור עיתונאי, והיעדרו של תיאור בלתי־תלוי הוא בעצמו חלק ממה שהתיעוד מתעד.

מי יכול היה להפעיל את זה, ומה השתנה

הערות השחרור של Zammad עבור 7.1.2, dated 4 באוגוסט 2026, מפרטות את שמונה עשרה הפגיעויות שתוקנו בגרסה זו ומציבות את עקיפת התבנית של AI Agent במקום הראשון. ללקוחות מתארחים נאמר: "אין צורך בפעולה. המופעים שלכם כבר תוקנו ומאובטחים על ידי הצוות שלנו." עבור התקנות באחסון עצמי זה חד יותר: "אנו ממליצים בחום לשדרג לגרסה העדכנית ביותר של Zammad באופן מיידי כדי להבטיח שהמערכת שלכם מוגנת." הייעוץ אינו מציע פתרון חלופי, והרשומה אינה כוללת שום הקלה מעבר לשדרוג.

דרישת ההרשאה ראויה לבחינה מדוקדקת יותר מזו שהווקטור מעניק לה. PR:H משמעו שהתוקף זקוק לגישה משמעותית לפני שהפגם שמיש, וכאן הגישה הזו היא הרשאת admin.ai_agent שלדברי התיעוד של Zammad נדרשת בכלל כדי לעבוד עם AI Agents. בדלפק שירות, מדובר לרוב באחראי צוות שירות שמכוונן מסווגים, מתייגים ומחלצי טקסט — לא בהכרח האדם שמנהל את השרת. הניסוח של הודעת הייעוץ עצמה, "מנהל עם הרשאה ליצור או לערוך AI Agents", צר יותר מ"כל אחד" ורחב יותר מ"root". אם לא ניתן לבצע שדרוג מיידית, צמצום מי שמחזיק בהרשאה הזו מקטין את מאגר האנשים שיכולים להגיע לנתיב הקוד; זו הסקה מהווקטור ומהתיעוד, ולא תיקון שהספק פרסם.

אף אחד מהמסמכים העיקריים אינו מציב מודל שפה בנתיב הניצול. הפקודה פועלת בתוך תהליך ה-Ruby של Zammad כאשר התצורה של הסוכן מעובדת; שום דבר בהודעת הייעוץ, בקומיט או בהערת השחרור אינו מתאר שהמודל מייצר את ה-payload. תכונת AI Agent מספקת את השדה הניתן לכתיבה על ידי מנהל המערכת ומעובד כתבנית, וה-AI הוא משטח החשיפה ולא המנגנון. זהו הדפוס שהרשומה מצביעה עליו: הגדרת הסוכן — ההוראות, התבניות והמסננים שלה — היא תצורה ניתנת להרצה, שנערכת בידי אנשים שעבודתם היא עבודת תמיכה, ולא ביקורת אבטחה.

התיקון של Zammad הוא מידתי ומשעמם: שינוי מתודה אחד, שתי בדיקות רגרסיה, והעלאת גרסה שסוגרת שבעה עשר חורים אחרים לצד זה. החלק שכדאי להעביר הלאה הוא מודל החשיפה. מערכת תמיכה שמאפשרת לראש תמיכה להגדיר סוכן גם מאפשרת לאותו ראש תמיכה לכתוב משהו שהשרת יבצע, והדבר היחיד שעומד בין השניים הוא מסנן שחייב להיות נכון לגבי כל עותק מקונן של התחביר שהוא מסיר.