Il 30 ottobre 2026 il Dutch Institute for Vulnerability Disclosure (DIVD) ha dichiarato che ARTEX, un framework open source per il penetration testing agentico, era stato usato nell’attacco contro l’istituto. Nel suo resoconto pubblico, DIVD ha descritto le attività svolte e la sequenza che ha portato l’attacco fino ai privilegi di root.
Come ARTEX ha coordinato le operazioni
DIVD descrive ARTEX come un framework agentico: l’operatore sceglie il bersaglio e il modello, mentre l’agente decide i passaggi da eseguire. Nel caso dell’istituto, DIVD ha contato oltre 450.000 richieste e più di 2.500 script. Per confronto, ha stimato che un attaccante umano avrebbe impiegato 20–30 script.
Le attività procedevano in parallelo. Secondo DIVD, l’agente ha letto nove volte una casella di posta, scansionato la rete interna, contattato altri sistemi e tentato di reimpostare password per account dell’istituto presso il provider di hosting. Ha anche recuperato token di accesso da un database.
DIVD ha riferito che l’agente ha creato per sé un token API amministrativo senza scadenza. Quel token poteva mantenere l’accesso senza dover sfruttare di nuovo la vulnerabilità.
La catena di Zammad ha raggiunto root in dodici minuti
DIVD ha riferito che dall’accesso iniziale al passaggio ai privilegi di root sono trascorsi dodici minuti. La sequenza ha concatenato due vulnerabilità zero-day di Zammad; l’escalation locale dei privilegi è durata circa un minuto.
Gli altri casi con ARTEX
DIVD ha precisato che l’uso di ARTEX in altri attacchi non dimostra che gli episodi siano collegati. La campagna Linux CL-UNK-1211, trattata da NeoTeo in un precedente articolo, è un caso distinto.
