استغلال الثغرة CVE-2026-102764 في BeyondTrust Remote Support كثغرة يوم الصفر وإضافتها إلى كتالوج KEV التابع لـ CISA

أصدرت BeyondTrust إصلاحًا للثغرة CVE-2026-102764، وهي ثغرة حرجة في منتجها Remote Support، المعروف سابقًا باسم Bomgar، تؤثر في الإصدارات 26.2.3 وما قبلها. وأضافت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) الثغرة إلى كتالوج الثغرات المعروف استغلالها (KEV) في 16 أكتوبر، ونشرت إرشادات تحث المؤسسات التي تشغّل أجهزة مستضافة ذاتيًا على التحرك فورًا. ووفقًا لـ Mandiant، استغلت جهة تجسس يُشتبه في ارتباطها بالصين الخلل كثغرة يوم الصفر في أواخر أغسطس، أي قبل الإفصاح العلني بوقت طويل.

وبحسب Mandiant، كشفت BeyondTrust عن المشكلة في 15 أكتوبر. ونقل موقع The Hacker News، الذي أفاد بأن درجة CVSS للثغرة تبلغ 9.3، عن الشركة المورّدة قولها إن مكونات داخلية في Remote Support لم تتحقق بشكل صحيح من مصدر الرسائل الواردة، ما قد يسمح في ظل ظروف معينة بتنفيذ عمليات على الملفات في الجهاز. وتصف CISA الخلل بأنه تجاوز للمصادقة، فيما قالت Mandiant إن مهاجمًا عن بُعد غير مصادَق عليه يمكنه استخدامه للتلاعب بالملفات، ما قد يتيح له السيطرة على مستوى المضيف والوصول إلى جميع بيانات الاعتماد التي يخزنها الجهاز أو يتوسط فيها. والإصلاح هو التصحيح BT26-05-RS ضمن النشرة الأمنية BT26-05. وقالت Mandiant إن BeyondTrust طبّقته على جميع مستأجري SaaS في 9 أكتوبر، لذا لا يحتاج العملاء المستضافون إلى تحديث الأجهزة، وإن كانت مراجعات بيانات الاعتماد والإعدادات لا تزال مطلوبة. أما الأنظمة المستضافة ذاتيًا التي تعمل بالإصدار 24.3.1 أو أحدث فتحتاج إلى تثبيت التصحيح أو التأكد من تثبيته عبر التحديثات التلقائية، بينما يجب أولًا ترقية الإصدارات الأقدم إلى إصدار مدعوم؛ وأشارت Mandiant إلى أن الترقية لا تعالج التعرض السابق.

وقالت Mandiant إنها كشفت النشاط خلال مهمة للاستجابة لحادث، وتنسبه GTIG إلى ARMORY CASTLE، وهي مجموعة كانت تُتتبَّع سابقًا باسم UNC5221. وبعد الاستغلال، زرعت الجهة صدفة ويب مشوّشة مكتوبة بلغة PHP تسميها Mandiant باسم SAWFLY، وحصلت على صلاحيات الجذر (root) بإنشاء نسخة من صدفة النظام بأذونات SUID، وحاولت استخراج بيانات الاعتماد المخزنة باستخدام أداة سطر أوامر مدمجة في BeyondTrust، وأضافت نصًا برمجيًا يعمل عند بدء التشغيل عدّل قالب sudoers بحيث يصمد الوصول غير المقيد بصلاحيات الجذر أمام إعادة التشغيل وإعادة ضبط الإعدادات. ووصفت Mandiant أيضًا أداة نفق SOCKS5 مخصصة تُدعى BARECLAW، جُعلت قابلة للوصول من الإنترنت عبر تعديلات على إعدادات HAProxy في الجهاز، إلى جانب حذف السجلات بشكل متكرر، وإساءة استخدام حساب مسؤول رُفعت أذونات Jump Item الخاصة به كي تتمكن الجهة من فتح جلسات عن بُعد إلى نقاط نهاية داخلية ونسخ مستندات مثل قوائم جرد البرمجيات.

وإلى جانب التصحيح، نصحت CISA بقصر تعرض أجهزة Remote Support للخارج على الخدمات المطلوبة، وإبقاء الواجهات الإدارية على شبكات موثوقة، وإجراء تحليل جنائي للشبكة والذاكرة. وحيثما يُشتبه في حدوث اختراق، توصي الوكالة بعزل الجهاز، والاحتفاظ بلقطة أو صورة جنائية له، وتحويل السجلات إلى نظام SIEM، والبحث عن جلسات ذات امتيازات غير مألوفة أو نصوص برمجية أو فجوات في السجلات. ثم تدعو إلى إعادة البناء من حالة معروفة بسلامتها، وتطبيق التصحيح، وتغيير جميع بيانات الاعتماد التي كان الجهاز يحتفظ بها، وإلغاء جلسات الدعم النشطة، والتحقق من تسجيلات المصادقة متعددة العوامل (MFA) الجديدة على الحسابات ذات الامتيازات. وأفاد موقع The Hacker News بأن أمام الوكالات المدنية الفيدرالية مهلة حتى 19 أكتوبر للمعالجة، كما أصدر المركز الكندي للأمن السيبراني نشرة بشأن الثغرة.

ووفقًا لموقع The Hacker News، يشير جدول زمني صادر عن BeyondTrust إلى أن استغلال ثغرة يوم الصفر في أحد الأجهزة المستضافة ذاتيًا يعود إلى 29 أغسطس، وأن الشركة بدأت البحث عن نشاط مماثل بعد أن أصبح اختراق مزوّد آخر لأجهزة الأمن علنيًا في 27 سبتمبر. وقالت GTIG إن ARMORY CASTLE نشطة منذ أكتوبر 2023 على الأقل، وسبق أن استغلت أجهزة طرفية. وحذّرت Mandiant من أن المجموعة اعتادت تاريخيًا الانتقال إلى استغلال واسع وانتهازي بمجرد الإفصاح عن ثغرة، كما حدث في 2024 بعد ثغرتي Ivanti المعروفتين باسم CVE-2023-46805 وCVE-2024-21887، وقالت إن أي جهاز معرّض للثغرة ومكشوف على الإنترنت خلال فترة الاستغلال ينبغي «التعامل معه على أنه مخترق محتملًا إلى أن تتم مراجعته».