آسیب‌پذیری CVE-2026-102764 در BeyondTrust Remote Support به‌عنوان روز صفر بهره‌برداری شد و به فهرست KEV سازمان CISA افزوده شد
CISA از مشتریانی که محصول را خودمیزبان اجرا می‌کنند می‌خواهد وصله BT26-05-RS را اعمال کنند و نفوذ را بررسی کنند، در حالی که Mandiant حملات روز صفر پیشین را به یک گروه جاسوسی مظنون به ارتباط با چین مرتبط می‌داند.
نکات کلیدی
- 1CVE-2026-102764 بر BeyondTrust Remote Support نسخه 26.2.3 و پیش از آن اثر می‌گذارد؛ CISA در 16 اکتبر آن را به فهرست KEV افزود.
- 2به گفته Mandiant، ARMORY CASTLE که GTIG آن را به‌عنوان عامل جاسوسی مظنون به ارتباط با جمهوری خلق چین ردیابی می‌کند، در اواخر اوت از این نقص به‌عنوان روز صفر بهره‌برداری کرد.
- 3BeyondTrust در 9 اکتبر مستأجران SaaS را وصله کرد؛ مشتریان خودمیزبان باید BT26-05-RS را اعمال کنند و اگر نسخه‌شان پایین‌تر از 24.3.1 است، ابتدا ارتقا دهند.
- 4Mandiant یک وب‌شل PHP، ارتقای دسترسی به root، تلاش برای سرقت اعتبارنامه‌ها، یک ابزار تونل‌زنی SOCKS5 و حذف لاگ‌ها را مشاهده کرد.
- 5CISA خواستار تحلیل جرم‌شناسی، ایزوله‌سازی و بازسازی دستگاه‌های مظنون به نفوذ و سپس تغییر اعتبارنامه‌ها است.
متن کامل خبر
BeyondTrust اصلاحیه‌ای برای CVE-2026-102764 منتشر کرده است؛ آسیب‌پذیری بحرانی در محصول Remote Support این شرکت، که پیش‌تر با نام Bomgar شناخته می‌شد، که نسخه‌های 26.2.3 و پیش از آن را تحت تأثیر قرار می‌دهد. آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) در 16 اکتبر این نقص را به فهرست آسیب‌پذیری‌های شناخته‌شده بهره‌برداری‌شده (KEV) افزود و راهنمایی منتشر کرد که از سازمان‌هایی که دستگاه‌های خودمیزبان اجرا می‌کنند می‌خواهد فوراً اقدام کنند. به گفته Mandiant، یک عامل جاسوسی مظنون به ارتباط با چین در اواخر اوت، مدت‌ها پیش از افشای عمومی، از این باگ به‌عنوان روز صفر بهره‌برداری کرده است.
به گفته Mandiant، BeyondTrust این مشکل را در 15 اکتبر افشا کرد. The Hacker News که امتیاز CVSS آن را 9.3 گزارش کرد، به نقل از فروشنده نوشت که اجزای داخلی Remote Support منشأ پیام‌های ورودی را به‌درستی بررسی نمی‌کردند و این امر تحت شرایط خاصی می‌توانست امکان انجام عملیات روی فایل‌ها را در دستگاه فراهم کند. CISA این نقص را دور زدن احراز هویت توصیف می‌کند، در حالی که Mandiant گفت مهاجم راه دور احراز هویت‌نشده می‌تواند از آن برای دستکاری فایل‌ها استفاده کند و به‌طور بالقوه کنترل در سطح میزبان را به دست آورد و به همه اعتبارنامه‌هایی که دستگاه ذخیره یا واسطه‌گری می‌کند دسترسی یابد. اصلاحیه، وصله BT26-05-RS ذیل توصیه‌نامه BT26-05 است. Mandiant گفت BeyondTrust آن را در 9 اکتبر روی همه مستأجران SaaS اعمال کرده است، بنابراین مشتریان میزبانی‌شده نیازی به به‌روزرسانی دستگاه ندارند، هرچند بازبینی اعتبارنامه‌ها و پیکربندی همچنان لازم است. سامانه‌های خودمیزبان با نسخه 24.3.1 یا بالاتر باید وصله را نصب کنند یا نصب آن از طریق به‌روزرسانی خودکار را تأیید کنند، در حالی که نسخه‌های قدیمی‌تر ابتدا باید به نسخه‌ای پشتیبانی‌شده ارتقا یابند؛ Mandiant خاطرنشان کرد که ارتقا، قرار گرفتن در معرض خطر در گذشته را برطرف نمی‌کند.
Mandiant گفت این فعالیت را در جریان یک مأموریت پاسخ به حادثه کشف کرده است و GTIG آن را به ARMORY CASTLE نسبت می‌دهد، گروهی که پیش‌تر با نام UNC5221 ردیابی می‌شد. این عامل پس از بهره‌برداری، یک وب‌شل PHP مبهم‌سازی‌شده کار گذاشت که Mandiant آن را SAWFLY می‌نامد، با ایجاد نسخه‌ای از پوسته سیستم با مجوزهای SUID دسترسی root به دست آورد، کوشید با یک ابزار خط فرمان داخلی BeyondTrust اعتبارنامه‌های ذخیره‌شده را استخراج کند و یک اسکریپت راه‌اندازی افزود که قالب sudoers را تغییر می‌داد تا دسترسی نامحدود root پس از راه‌اندازی مجدد و بازنشانی پیکربندی نیز باقی بماند. Mandiant همچنین یک ابزار تونل‌زنی سفارشی SOCKS5 به نام BARECLAW را توصیف کرد که از طریق ویرایش پیکربندی HAProxy دستگاه از اینترنت در دسترس قرار گرفته بود، و نیز حذف مکرر لاگ‌ها و سوءاستفاده از یک حساب مدیر که مجوزهای Jump Item آن افزایش یافته بود تا عامل بتواند نشست‌های راه دور به نقاط پایانی داخلی باز کند و اسنادی مانند سیاهه نرم‌افزارها را کپی کند.
CISA افزون بر وصله‌کردن، توصیه کرد دسترسی بیرونی به دستگاه‌های Remote Support به سرویس‌های ضروری محدود شود، رابط‌های مدیریتی در شبکه‌های مورد اعتماد نگه داشته شوند و تحلیل جرم‌شناسی شبکه و حافظه انجام شود. در صورت ظن به نفوذ، این آژانس توصیه می‌کند دستگاه ایزوله شود، یک اسنپ‌شات یا ایمیج جرم‌شناسی از آن نگهداری شود، لاگ‌ها به یک SIEM ارسال شوند و نشست‌های ممتاز ناآشنا، اسکریپت‌ها یا شکاف‌ها در ثبت لاگ جست‌وجو شوند. سپس خواستار بازسازی از یک وضعیت سالم شناخته‌شده، وصله‌کردن، تغییر همه اعتبارنامه‌هایی که دستگاه نگه می‌داشت، لغو نشست‌های پشتیبانی فعال و بررسی ثبت‌نام‌های جدید احراز هویت چندعاملی (MFA) در حساب‌های ممتاز می‌شود. The Hacker News گزارش داد که نهادهای فدرال غیرنظامی تا 19 اکتبر برای رفع مشکل مهلت دارند و مرکز امنیت سایبری کانادا نیز توصیه‌نامه‌ای درباره این نقص منتشر کرده است.
به گزارش The Hacker News، یک جدول زمانی از BeyondTrust نشان می‌دهد که بهره‌برداری روز صفر از یک دستگاه خودمیزبان به 29 اوت بازمی‌گردد و این فروشنده پس از علنی‌شدن نفوذ به یک ارائه‌دهنده دیگر دستگاه‌های امنیتی در 27 سپتامبر، جست‌وجو برای فعالیت مشابه را آغاز کرد. GTIG گفت ARMORY CASTLE دست‌کم از اکتبر 2023 فعال بوده و پیش‌تر از دستگاه‌های لبه شبکه بهره‌برداری کرده است. Mandiant هشدار داد که این گروه در گذشته پس از افشای یک نقص به بهره‌برداری گسترده و فرصت‌طلبانه روی آورده است، همان‌گونه که در 2024 پس از آسیب‌پذیری‌های Ivanti یعنی CVE-2023-46805 و CVE-2024-21887 دیده شد، و گفت هر دستگاه آسیب‌پذیری که در بازه بهره‌برداری در معرض اینترنت بوده باید «تا زمان بازبینی، به‌طور بالقوه نفوذشده تلقی شود».
چرا مهم است
دستگاه‌های Remote Support اعتبارنامه‌های سامانه‌های پایین‌دستی را ذخیره و واسطه‌گری می‌کنند، بنابراین یک دستگاه نفوذشده می‌تواند دسترسی داخلی گسترده‌ای را باز کند. Mandiant هشدار داد که اکنون با علنی‌شدن این نقص ممکن است بهره‌برداری گسترده‌تری در پی بیاید و این امر وصله‌کردن سریع و بازبینی دستگاه‌های خودمیزبان از نظر نفوذ را به اولویت تبدیل می‌کند.
گاه‌شمار
· منتشرشده
موضوع‌ها#BeyondTrust#روز صفر#CISA KEV#Mandiant#آسیب‌پذیری#جاسوسی سایبری
منابع
این خبر بر منابع زیر استوار است. برای بافت کامل، آن‌ها را بخوانید.
- 1CISA · بیانیهٔ رسمیCISA Urges Patching Critical Vulnerability in BeyondTrust Remote Supportwww.cisa.gov
- 2Canadian Centre for Cyber Security · بیانیهٔ رسمیBeyondTrust security advisory (AV26-1054) – Update 1www.cyber.gc.ca
- 3Google Threat Intelligence Group / Mandiant · پژوهشARMORY CASTLE Exploits BeyondTrustcloud.google.com
- 4The Hacker News · گزارش خبریChina-Linked Hackers Exploited BeyondTrust Zero-Day to Take Over Remote Support Serversthehackernews.com
