החולשה CVE-2026-102764 במוצר Remote Support של BeyondTrust נוצלה כיום אפס ונוספה לקטלוג KEV של CISA

BeyondTrust פרסמה תיקון ל-CVE-2026-102764, חולשה קריטית במוצר Remote Support שלה, שנודע בעבר בשם Bomgar, המשפיעה על גרסאות 26.2.3 ומוקדמות יותר. הסוכנות האמריקנית לאבטחת סייבר ותשתיות (CISA) הוסיפה את החולשה לקטלוג החולשות המנוצלות הידועות (KEV) ב-16 באוקטובר ופרסמה הנחיות הקוראות לארגונים המפעילים מכשירים באירוח עצמי לפעול מיד. לדברי Mandiant, גורם ריגול החשוד בזיקה לסין ניצל את הבאג כיום אפס בסוף אוגוסט, הרבה לפני החשיפה הפומבית.

לפי Mandiant, BeyondTrust חשפה את הבעיה ב-15 באוקטובר. The Hacker News, שדיווח על ציון CVSS של 9.3, ציטט את הספקית שלפיה רכיבים פנימיים של Remote Support לא בדקו כראוי את מקור ההודעות הנכנסות, מה שבתנאים מסוימים עלול לאפשר פעולות על קבצים במכשיר. CISA מתארת את החולשה כעקיפת אימות, בעוד Mandiant אמרה שתוקף מרוחק לא מאומת יכול לנצל אותה כדי לתמרן קבצים, ובכך עשוי להשיג שליטה ברמת המארח ולגשת לכל פרטי ההזדהות שהמכשיר מאחסן או מתווך. התיקון הוא BT26-05-RS במסגרת ההודעה BT26-05. לדברי Mandiant, BeyondTrust החילה אותו על כל דיירי ה-SaaS ב-9 באוקטובר, כך שלקוחות השירות המתארח אינם נדרשים לעדכן מכשיר, אם כי בדיקות של פרטי הזדהות ותצורה עדיין נדרשות. מערכות באירוח עצמי בגרסה 24.3.1 ואילך צריכות להתקין את התיקון, או לוודא שהותקן באמצעות עדכונים אוטומטיים, ואילו גרסאות ישנות יותר חייבות תחילה להשתדרג לגרסה נתמכת; Mandiant ציינה ששדרוג אינו מתקן חשיפה קודמת.

Mandiant אמרה שחשפה את הפעילות במהלך משימת תגובה לאירוע, ו-GTIG מייחסת אותה ל-ARMORY CASTLE, קבוצה שנעקבה בעבר תחת הכינוי UNC5221. לאחר הניצול שתל הגורם מעטפת רשת (web shell) מעורפלת ב-PHP ש-Mandiant מכנה SAWFLY, השיג הרשאות root באמצעות יצירת עותק של מעטפת המערכת עם הרשאות SUID, ניסה לשאוב פרטי הזדהות מאוחסנים בעזרת כלי שורת פקודה מובנה של BeyondTrust, והוסיף סקריפט אתחול ששינה את תבנית sudoers כך שגישת root בלתי מוגבלת תשרוד אתחולים ואיפוסי תצורה. Mandiant תיארה גם כלי מנהור SOCKS5 ייעודי בשם BARECLAW, שהונגש מהאינטרנט באמצעות שינויים בתצורת HAProxy של המכשיר, מחיקה חוזרת של יומנים, וניצול לרעה של חשבון מנהל שהרשאות ה-Jump Item שלו הורחבו כדי שהגורם יוכל לפתוח הפעלות מרוחקות לנקודות קצה פנימיות ולהעתיק מסמכים כגון מצאי תוכנה.

מעבר להחלת התיקון, CISA יעצה להגביל את החשיפה החיצונית של מכשירי Remote Support לשירותים הנדרשים, להשאיר ממשקי ניהול ברשתות מהימנות ולבצע חקירה פורנזית של הרשת והזיכרון. כאשר יש חשד לפריצה, הסוכנות ממליצה לבודד את המכשיר, לשמור תמונת מצב (snapshot) או העתק פורנזי, להעביר יומנים ל-SIEM ולחפש הפעלות בעלות הרשאות לא מוכרות, סקריפטים או פערים ברישום. לאחר מכן היא קוראת לבנות מחדש ממצב תקין ידוע, להחיל את התיקון, להחליף כל פרט הזדהות שהמכשיר החזיק, לבטל הפעלות תמיכה פעילות ולבדוק רישומי MFA חדשים בחשבונות בעלי הרשאות. The Hacker News דיווח שלסוכנויות פדרליות אזרחיות יש עד 19 באוקטובר לתקן את החולשה, וגם מרכז הסייבר של קנדה פרסם הודעה בנוגע אליה.

לפי The Hacker News, ציר זמן של BeyondTrust מצביע על כך שניצול יום האפס של מכשיר אחד באירוח עצמי מתוארך ל-29 באוגוסט, והספקית החלה לחפש פעילות דומה לאחר שפריצה אצל ספק אחר של התקני אבטחה נודעה בפומבי ב-27 בספטמבר. GTIG אמרה ש-ARMORY CASTLE פעילה לפחות מאוקטובר 2023 וניצלה בעבר מכשירי קצה. Mandiant הזהירה שהקבוצה נהגה היסטורית לעבור לניצול רחב ואופורטוניסטי לאחר חשיפת חולשה, כפי שנראה ב-2024 בעקבות החולשות CVE-2023-46805 ו-CVE-2024-21887 במוצרי Ivanti, ואמרה שכל מכשיר פגיע שהיה חשוף לאינטרנט במהלך חלון הניצול צריך „להיחשב כפרוץ פוטנציאלית עד שייבדק”.