Op 30 oktober 2026 meldde het Dutch Institute for Vulnerability Disclosure (DIVD) dat ARTEX was gebruikt bij een aanval op het instituut. DIVD beschreef meer dan 450.000 verzoeken, ruim 2.500 scripts en verschillende activiteiten die tegelijk plaatsvonden. In de verklaring van DIVD staat ARTEX omschreven als een open-source framework voor agentische pentests: de gebruiker kiest een model en de agent bepaalt de volgende stappen.
Wat DIVD over de aanval meldde
Volgens DIVD voerde de agent gelijktijdig meerdere taken uit. Het systeem las een mailbox negen keer, scande het interne netwerk en benaderde andere systemen. Ook probeerde het wachtwoordresets aan te vragen voor DIVD-adressen bij de hostingprovider en haalde het inlogtokens uit een database.
De aantallen geven de omvang weer die DIVD bij dit incident rapporteerde. Het instituut telde meer dan 450.000 verzoeken en meer dan 2.500 scripts. Ter vergelijking schatte DIVD dat een menselijke aanvaller 20 tot 30 scripts nodig zou hebben. Dat is een inschatting van het instituut, geen algemene prestatietest van ARTEX.
Het token en de route naar root
DIVD meldde ook dat de agent een beheerderstoken voor een API aanmaakte dat niet verliep. Zo kon de toegang volgens het instituut behouden blijven zonder de kwetsbaarheid opnieuw te gebruiken.
Van eerste toegang tot rootrechten duurde het volgens DIVD twaalf minuten. De aanval maakte daarbij gebruik van twee aan elkaar gekoppelde zero-daykwetsbaarheden in Zammad; de lokale escalatie van rechten nam ongeveer een minuut in beslag. Een zero-day is een kwetsbaarheid waarvoor op het moment van misbruik nog geen oplossing beschikbaar is. De beschrijving van de aanval schrijft de ontdekking van die kwetsbaarheden niet aan ARTEX toe.
De andere ARTEX-zaken en CL-UNK-1211
In een afzonderlijk bericht werden aan Unit 42 waarnemingen toegeschreven van aanvallen op meerdere doelen waarbij waarschijnlijk ARTEX of een daarvan afgeleid framework werd gebruikt. De gemelde waarnemingsperiode liep van 24 september tot en met 27 oktober 2026. DIVD waarschuwde dat het gebruik van ARTEX bij andere aanvallen op zichzelf geen verband tussen die zaken aantoont.
CL-UNK-1211, de afzonderlijke campagne tegen Linux-infrastructuur van overheidsgerelateerde doelen, staat los van het DIVD-incident. De eerdere NeoTeo-publicatie over CL-UNK-1211 beschrijft die campagne.
