Chyba CVE-2026-102764 v BeyondTrust Remote Support zneužita jako zero-day, CISA ji zařadila do katalogu KEV

Společnost BeyondTrust vydala opravu zranitelnosti CVE-2026-102764, kritické chyby v produktu Remote Support, dříve známém jako Bomgar, která postihuje verze 26.2.3 a starší. Americká Agentura pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA) zařadila chybu 16. října do svého katalogu známých zneužívaných zranitelností (KEV) a zveřejnila pokyny, v nichž vyzývá organizace provozující vlastní hostovaná zařízení k okamžitému jednání. Podle společnosti Mandiant chybu koncem srpna zneužíval jako zero-day podezřelý špionážní aktér napojený na Čínu, tedy dlouho před jejím zveřejněním.

Podle společnosti Mandiant zveřejnila BeyondTrust problém 15. října. Server The Hacker News, který uvedl skóre CVSS 9,3, citoval výrobce, podle něhož interní komponenty Remote Support řádně neověřovaly původ příchozích zpráv, což by za určitých podmínek mohlo umožnit operace se soubory na zařízení. CISA chybu popisuje jako obejití autentizace, zatímco Mandiant uvedl, že ji neautentizovaný vzdálený útočník může využít k manipulaci se soubory, potenciálně tak získat kontrolu nad hostitelem a dostat se ke všem přihlašovacím údajům, které zařízení ukládá nebo zprostředkovává. Opravou je záplata BT26-05-RS v rámci bulletinu BT26-05. Podle Mandiantu ji BeyondTrust 9. října nasadil u všech tenantů SaaS, takže hostovaní zákazníci nemusejí zařízení aktualizovat, kontroly přihlašovacích údajů a konfigurace však nadále platí. Vlastní hostované systémy ve verzi 24.3.1 nebo novější musejí záplatu nainstalovat, případně ověřit její instalaci automatickými aktualizacemi, zatímco starší vydání je nutné nejprve povýšit na podporovanou verzi; Mandiant upozornil, že upgrade neřeší dřívější vystavení riziku.

Mandiant uvedl, že aktivitu odhalil při reakci na incident, a GTIG ji přisuzuje skupině ARMORY CASTLE, dříve sledované jako UNC5221. Po zneužití aktér nasadil obfuskovaný PHP web shell, který Mandiant nazývá SAWFLY, získal práva root vytvořením kopie systémového shellu s oprávněním SUID, pokusil se vyexportovat uložené přihlašovací údaje pomocí vestavěného nástroje příkazové řádky BeyondTrust a přidal spouštěcí skript, který upravil šablonu sudoers, aby neomezený přístup root přetrval restarty i resety konfigurace. Mandiant popsal také vlastní tunelovací nástroj SOCKS5 nazvaný BARECLAW, zpřístupněný z internetu úpravami konfigurace HAProxy na zařízení, opakované mazání logů a zneužití účtu správce, jehož oprávnění Jump Item byla navýšena, aby aktér mohl otevírat vzdálené relace k interním koncovým bodům a kopírovat dokumenty, jako jsou soupisy softwaru.

Kromě instalace záplaty CISA doporučila omezit vnější vystavení zařízení Remote Support na nezbytné služby, ponechat administrátorská rozhraní v důvěryhodných sítích a provést síťovou a paměťovou forenzní analýzu. Při podezření na kompromitaci agentura doporučuje zařízení izolovat, uchovat snímek nebo forenzní obraz, přeposílat logy do SIEM a pátrat po neznámých privilegovaných relacích, skriptech či mezerách v záznamech. Poté vyzývá k obnově ze známého bezpečného stavu, instalaci záplaty, rotaci všech přihlašovacích údajů uložených v zařízení, zrušení aktivních relací podpory a kontrole nových registrací MFA u privilegovaných účtů. The Hacker News uvedl, že federální civilní úřady mají na nápravu čas do 19. října, a kanadské Cyber Centre k chybě rovněž vydalo bulletin.

Podle The Hacker News časová osa BeyondTrust naznačuje, že zneužití zero-day u jednoho vlastního hostovaného zařízení se datuje k 29. srpnu, a výrobce začal pátrat po podobné aktivitě poté, co se 27. září stala veřejně známou kompromitace jiného poskytovatele bezpečnostních zařízení. GTIG uvedla, že ARMORY CASTLE je aktivní přinejmenším od října 2023 a v minulosti již zneužívala okrajová zařízení. Mandiant varoval, že skupina po zveřejnění chyby historicky přecházela k širokému, oportunistickému zneužívání, jak se ukázalo v roce 2024 po chybách Ivanti CVE-2023-46805 a CVE-2024-21887, a uvedl, že každé zranitelné zařízení vystavené do internetu během období zneužívání by mělo být „považováno za potenciálně kompromitované, dokud nebude prověřeno“.