Lücke CVE-2026-102764 in BeyondTrust Remote Support als Zero-Day ausgenutzt, in CISA KEV-Katalog aufgenommen

BeyondTrust hat eine Korrektur für CVE-2026-102764 veröffentlicht, eine kritische Schwachstelle in seinem Produkt Remote Support, früher als Bomgar bekannt, die die Versionen 26.2.3 und älter betrifft. Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) nahm die Lücke am 16. Oktober in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) auf und veröffentlichte Leitlinien, in denen sie Organisationen mit selbst gehosteten Appliances zum sofortigen Handeln auffordert. Laut Mandiant nutzte ein mutmaßlich mit China verbundener Spionageakteur den Fehler bereits Ende August als Zero-Day aus, lange vor der öffentlichen Bekanntgabe.

Laut Mandiant machte BeyondTrust das Problem am 15. Oktober öffentlich. The Hacker News, das einen CVSS-Wert von 9,3 meldete, zitierte den Hersteller damit, dass interne Komponenten von Remote Support die Herkunft eingehender Nachrichten nicht ordnungsgemäß prüften, was unter bestimmten Bedingungen Dateioperationen auf der Appliance ermöglichen könne. Die CISA beschreibt die Lücke als Authentifizierungsumgehung, während Mandiant erklärte, ein nicht authentifizierter entfernter Angreifer könne damit Dateien manipulieren, möglicherweise Kontrolle auf Host-Ebene erlangen und alle Zugangsdaten erreichen, die das Gerät speichert oder vermittelt. Die Korrektur ist der Patch BT26-05-RS gemäß Advisory BT26-05. Laut Mandiant spielte BeyondTrust ihn am 9. Oktober bei allen SaaS-Mandanten ein, sodass gehostete Kunden kein Appliance-Update benötigen; die Überprüfung von Zugangsdaten und Konfiguration bleibt jedoch nötig. Selbst gehostete Systeme ab Version 24.3.1 müssen den Patch installieren oder dessen Installation über automatische Updates bestätigen, ältere Versionen sind zunächst auf eine unterstützte Version zu aktualisieren; Mandiant merkte an, dass ein Upgrade eine frühere Gefährdung nicht behebt.

Mandiant gab an, die Aktivitäten bei einem Incident-Response-Einsatz entdeckt zu haben; GTIG schreibt sie ARMORY CASTLE zu, einer Gruppe, die früher als UNC5221 verfolgt wurde. Nach der Ausnutzung platzierte der Akteur eine verschleierte PHP-Web-Shell, die Mandiant SAWFLY nennt, verschaffte sich Root-Rechte, indem er eine Kopie der System-Shell mit SUID-Berechtigungen anlegte, versuchte, gespeicherte Zugangsdaten mit einem integrierten Kommandozeilenwerkzeug von BeyondTrust auszulesen, und fügte ein Startskript hinzu, das die sudoers-Vorlage so veränderte, dass uneingeschränkter Root-Zugriff Neustarts und Konfigurationsrücksetzungen überdauerte. Mandiant beschrieb zudem einen eigens entwickelten SOCKS5-Tunneler namens BARECLAW, der durch Änderungen an der HAProxy-Konfiguration der Appliance aus dem Internet erreichbar gemacht wurde, wiederholtes Löschen von Logs sowie den Missbrauch eines Administratorkontos, dessen Jump Item-Berechtigungen erhöht wurden, sodass der Akteur Remote-Sitzungen zu internen Endpunkten öffnen und Dokumente wie Software-Inventare kopieren konnte.

Über das Patchen hinaus riet die CISA, die externe Erreichbarkeit von Appliances für Remote Support auf erforderliche Dienste zu beschränken, Verwaltungsoberflächen in vertrauenswürdigen Netzen zu belassen und Netzwerk- sowie Arbeitsspeicherforensik durchzuführen. Bei Verdacht auf eine Kompromittierung empfiehlt die Behörde, die Appliance zu isolieren, einen Snapshot oder ein forensisches Abbild zu sichern, Logs an ein SIEM weiterzuleiten und nach unbekannten privilegierten Sitzungen, Skripten oder Lücken in der Protokollierung zu suchen. Anschließend fordert sie einen Neuaufbau aus einem bekannt sauberen Zustand, das Einspielen des Patches, die Rotation sämtlicher auf dem Gerät hinterlegter Zugangsdaten, den Widerruf aktiver Support-Sitzungen und die Prüfung neuer MFA-Registrierungen bei privilegierten Konten. The Hacker News berichtete, dass zivile Bundesbehörden bis zum 19. Oktober Zeit für die Behebung haben; auch das kanadische Cyber Centre hat einen Sicherheitshinweis zu der Lücke veröffentlicht.

Laut The Hacker News zeigt eine Zeitleiste von BeyondTrust, dass die Zero-Day-Ausnutzung einer selbst gehosteten Appliance auf den 29. August zurückgeht; der Hersteller begann mit der Suche nach ähnlichen Aktivitäten, nachdem am 27. September die Kompromittierung eines anderen Anbieters von Sicherheitsgeräten öffentlich geworden war. GTIG erklärte, ARMORY CASTLE sei mindestens seit Oktober 2023 aktiv und habe bereits zuvor Edge-Appliances ausgenutzt. Mandiant warnte, die Gruppe sei in der Vergangenheit nach Bekanntwerden einer Lücke zu breiter, opportunistischer Ausnutzung übergegangen, wie 2024 nach den Ivanti-Lücken CVE-2023-46805 und CVE-2024-21887, und erklärte, jede verwundbare Appliance, die während des Ausnutzungszeitraums aus dem Internet erreichbar war, solle „als potenziell kompromittiert behandelt werden, bis sie überprüft wurde“.