Már augusztusban kihasználták a BeyondTrust Remote Support kritikus hibáját

A BeyondTrust időrendje szerint az Armory Castle nevű, Kínához köthető kiberkémcsoport 2026. augusztus 29-én használta ki a rést egy saját üzemeltetésű eszközön. Nulladik napi támadás történt: ekkor még korábban ismeretlen sebezhetőséget használtak fel.

A CVE-2026-102764 azonosítójú hiba a belső üzenetek eredetének hiányos ellenőrzéséből fakad. Megfelelő körülmények között távoli támadó fájlműveleteket végezhet az érintett berendezésen. A CVSS szerinti műszaki súlyossága 9,3, vagyis kritikus.

A Remote Support 24.3.1 és 26.2.3 közötti verzióihoz a BT26-05-RS javítócsomagot kell manuálisan telepíteni. A 24.3.1 előtti kiadások használóinak előbb újabb verzióra kell váltaniuk, hogy alkalmazhassák a javítást.

A BeyondTrust közlése szerint a SaaS-ügyfelek mindegyikéhez eljutott a biztonsági javítás 2026. október 9-ig.

A Mandiant vizsgálata szerint a támadók távoli hozzáférést biztosító programot telepítettek, teljes adminisztrátori irányítást szereztek, és újraindítást túlélő hozzáférést építettek ki. Tárolt hitelesítő adatok megszerzésével is próbálkoztak, belső rendszerekhez kapcsolódtak, és érzékeny dokumentumokat vittek ki.

Rendszer-, webszerver- és alkalmazásnaplókat is töröltek. A kutatók ezért minden olyan eszközt potenciálisan kompromittáltnak tekintenek az átvizsgálásig, amely a támadási időszakban sérülékeny verzióval elérhető volt az internetről.