Celah BeyondTrust Remote Support CVE-2026-102764 dieksploitasi sebagai zero-day, masuk katalog CISA KEV

BeyondTrust telah merilis perbaikan untuk CVE-2026-102764, kerentanan kritis pada produk Remote Support miliknya, yang sebelumnya dikenal sebagai Bomgar, yang memengaruhi versi 26.2.3 dan sebelumnya. Badan Keamanan Siber dan Infrastruktur AS (CISA) menambahkan celah tersebut ke katalog Known Exploited Vulnerabilities (KEV) pada 16 Oktober dan menerbitkan panduan yang mendesak organisasi yang menjalankan appliance self-hosted untuk segera bertindak. Menurut Mandiant, aktor spionase yang diduga terkait Tiongkok mengeksploitasi bug tersebut sebagai zero-day pada akhir Agustus, jauh sebelum pengungkapan publik.

BeyondTrust mengungkapkan masalah ini pada 15 Oktober, menurut Mandiant. The Hacker News, yang melaporkan skor CVSS 9,3, mengutip vendor yang menyebut komponen internal Remote Support tidak memeriksa dengan benar asal pesan masuk, sehingga dalam kondisi tertentu dapat memungkinkan operasi file pada appliance. CISA menggambarkan celah ini sebagai bypass autentikasi, sedangkan Mandiant mengatakan penyerang jarak jauh tanpa autentikasi dapat memanfaatkannya untuk memanipulasi file, berpotensi meraih kendali tingkat host dan menjangkau semua kredensial yang disimpan atau diperantarai perangkat. Perbaikannya adalah patch BT26-05-RS dalam advisori BT26-05. Mandiant mengatakan BeyondTrust telah menerapkannya ke semua tenant SaaS pada 9 Oktober, sehingga pelanggan hosted tidak perlu memperbarui appliance, meski peninjauan kredensial dan konfigurasi tetap berlaku. Sistem self-hosted versi 24.3.1 atau lebih baru perlu memasang patch, atau memastikannya terpasang lewat pembaruan otomatis, sedangkan rilis lama harus lebih dulu ditingkatkan ke versi yang didukung; Mandiant mencatat bahwa peningkatan versi tidak meremediasi paparan sebelumnya.

Mandiant mengatakan pihaknya menemukan aktivitas tersebut saat menangani respons insiden, dan GTIG mengatribusikannya kepada ARMORY CASTLE, kelompok yang sebelumnya dilacak sebagai UNC5221. Setelah eksploitasi, aktor tersebut menanam web shell PHP terobfuskasi yang disebut Mandiant SAWFLY, memperoleh akses root dengan membuat salinan shell sistem berizin SUID, mencoba membongkar kredensial tersimpan dengan alat baris perintah bawaan BeyondTrust, dan menambahkan skrip startup yang mengubah templat sudoers agar akses root tanpa batas bertahan setelah reboot dan reset konfigurasi. Mandiant juga menggambarkan tunneler SOCKS5 khusus bernama BARECLAW, yang dibuat dapat dijangkau dari internet melalui pengubahan konfigurasi HAProxy appliance, penghapusan log berulang kali, serta penyalahgunaan akun administrator yang izin Jump Item-nya dinaikkan sehingga aktor itu dapat membuka sesi jarak jauh ke endpoint internal dan menyalin dokumen seperti inventaris perangkat lunak.

Selain pemasangan patch, CISA menyarankan pembatasan paparan eksternal appliance Remote Support hanya pada layanan yang diperlukan, menempatkan antarmuka administratif di jaringan tepercaya, serta melakukan forensik jaringan dan memori. Jika ada dugaan kompromi, badan tersebut merekomendasikan isolasi appliance, menyimpan snapshot atau citra forensik, meneruskan log ke SIEM, dan memburu sesi istimewa yang tidak dikenal, skrip, atau celah dalam pencatatan log. Badan itu kemudian menyerukan pembangunan ulang dari kondisi yang diketahui baik, pemasangan patch, rotasi setiap kredensial yang disimpan perangkat, pencabutan sesi dukungan aktif, dan pemeriksaan pendaftaran MFA baru pada akun istimewa. The Hacker News melaporkan bahwa badan sipil federal memiliki waktu hingga 19 Oktober untuk melakukan remediasi, dan Cyber Centre Kanada juga telah menerbitkan advisori tentang celah ini.

Menurut The Hacker News, linimasa BeyondTrust menunjukkan eksploitasi zero-day terhadap satu appliance self-hosted bermula pada 29 Agustus, dan vendor tersebut mulai memburu aktivitas serupa setelah kompromi pada penyedia perangkat keamanan lain terungkap ke publik pada 27 September. GTIG mengatakan ARMORY CASTLE telah aktif setidaknya sejak Oktober 2023 dan sebelumnya pernah mengeksploitasi appliance edge. Mandiant memperingatkan bahwa kelompok ini secara historis beralih ke eksploitasi luas dan oportunistis begitu sebuah celah diungkapkan, seperti terlihat pada 2024 setelah celah Ivanti CVE-2023-46805 dan CVE-2024-21887, serta menyatakan bahwa setiap appliance rentan yang terpapar internet selama jendela eksploitasi harus “diperlakukan sebagai berpotensi terkompromi hingga selesai ditinjau”.