BeyondTrust закликала клієнтів якнайшвидше оновити Remote Support через критичну уразливість автентифікації CVE-2026-102764, що перебуває під активною експлуатацією з кінця серпня.
Що відомо про уразливість
Йдеться про обхід автентифікації, який дозволяє віддаленим зловмисникам без прав виконувати файлові операції на непатчених пристроях Remote Support версії 26.2.3 або старіших. За даними компанії, 8 жовтня виправлення автоматично отримали всі клієнти SaaS Remote Support і Privileged Remote Access, тоді як інсталяції on‑premises потребують ручного оновлення, якщо автоматичні апдейти вимкнені.
Як відбувалися атаки
Перші зловмисні кампанії ідентифікували дослідники Mandiant. За їхніми спостереженнями, нападники спершу здобували початковий доступ через новий баг, потім підвищували привілеї до рівня root, вмикаючи SUID. Далі вони розгортали вебшел Sawfly та тунелер Bareclaw, очищали журнали для ускладнення виявлення і пересувалися мережею, використовуючи скомпрометовані адмінські облікові записи для відкриття віддалених сесій на суміжних системах.
«Після закріплення через вебшел актор піднявся від облікового запису вебсервісу до контролю рівня root над хостом пристрою, отримавши доступ до всіх облікових даних, які пристрій зберігав або обробляв, і можливість змінювати файли, що переживають перезавантаження і скидання конфігурації», — попереджає Mandiant.
Mandiant радить розглядати кожен пристрій, доступний з інтернету під час вікна експлуатації та запущений на вразливій версії, як потенційно скомпрометований, доки його не перевірять. За підрахунками Shadowserver, онлайн відкрито понад 1400 інстансів BeyondTrust Remote Support (без уточнення стану їхньої безпеки чи наявності honeypot).
Хто стоїть за атаками
Уразливість експлуатував шпигунський актор з китайськими зв’язками, якого Mandiant і Google Threat Intelligence Group позначають як Armory Castle (раніше UNC5221), а CrowdStrike — як Warp Panda. Ця група з жовтня 2023-го відома атаками на граничні мережеві пристрої через нульові дні в Citrix NetScaler та Ivanti Connect Secure. Volexity повідомляла, що UNC5221 заклала бекдори більш ніж у 2100 пристроїв Ivanti, використовуючи вебшел GiftedVisitor.
Що робити клієнтам BeyondTrust
Компанія вже виправила CVE-2026-102764 для SaaS, але власникам локальних інсталяцій слід невідкладно встановити патч і провести ретроспективну перевірку логів і конфігурацій. Mandiant не виключає хвилі масових спроб експлуатації після розкриття деталей.
Контекст: інші інциденти
Це не перший випадок атак на продукти BeyondTrust. Раніше зловмисники використовували критичний RCE-баг CVE-2026-1731 у Remote Support і Privileged Remote Access для встановлення каналів WebSocket та подальшого розгортання програм-вимагачів. Окрема кампанія, яку пов’язують із Silk Typhoon, залучала два нульові дні (CVE-2024-12356 і CVE-2024-12686) для зламу систем BeyondTrust і компрометації 17 SaaS-інстансів Remote Support, включно з інстансом Міністерства фінансів США, а також цілила в OFAC і CFIUS. За даними компанії, BeyondTrust надає послуги із захисту ідентичностей понад 20 000 клієнтів по світу, серед яких урядові установи та 75% компаній із Fortune 100.