Lek CVE-2026-102764 in BeyondTrust Remote Support als zero-day misbruikt, opgenomen in KEV-catalogus van CISA

BeyondTrust heeft een oplossing uitgebracht voor CVE-2026-102764, een kritieke kwetsbaarheid in zijn product Remote Support, voorheen bekend als Bomgar, die versies 26.2.3 en eerder treft. Het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) nam het lek op 16 oktober op in zijn catalogus van Known Exploited Vulnerabilities (KEV) en publiceerde richtlijnen waarin organisaties met zelfgehoste appliances worden opgeroepen onmiddellijk in actie te komen. Volgens Mandiant misbruikte een vermoedelijk aan China gelieerde spionageactor de bug eind augustus als zero-day, ruim vóór de openbaarmaking.

BeyondTrust maakte het probleem volgens Mandiant op 15 oktober bekend. The Hacker News, dat een CVSS-score van 9,3 meldde, citeerde de leverancier: interne componenten van Remote Support controleerden niet goed waar binnenkomende berichten vandaan kwamen, wat onder bepaalde omstandigheden bestandsbewerkingen op de appliance mogelijk kon maken. CISA omschrijft het lek als een omzeiling van authenticatie, terwijl Mandiant zei dat een niet-geauthenticeerde aanvaller op afstand er bestanden mee kan manipuleren, waardoor hij mogelijk controle op hostniveau krijgt en bij alle inloggegevens kan die het apparaat opslaat of doorgeeft. De oplossing is patch BT26-05-RS onder advisory BT26-05. Mandiant zei dat BeyondTrust die op 9 oktober op alle SaaS-tenants heeft toegepast, zodat gehoste klanten geen appliance-update nodig hebben, al blijven controles van inloggegevens en configuratie nodig. Zelfgehoste systemen op versie 24.3.1 of later moeten de patch installeren of bevestigen dat automatische updates die hebben geïnstalleerd; oudere releases moeten eerst naar een ondersteunde versie worden geüpgraded. Mandiant merkte op dat een upgrade eerdere blootstelling niet verhelpt.

Mandiant zei de activiteit te hebben ontdekt tijdens een incidentresponsopdracht, en GTIG schrijft die toe aan ARMORY CASTLE, een groep die eerder werd gevolgd als UNC5221. Na het misbruik plaatste de actor een geobfusceerde PHP-webshell die Mandiant SAWFLY noemt, verkreeg rootrechten door een kopie van de systeemshell met SUID-rechten aan te maken, probeerde opgeslagen inloggegevens te dumpen met een ingebouwde command-line tool van BeyondTrust en voegde een opstartscript toe dat de sudoers-template wijzigde, zodat onbeperkte roottoegang herstarts en configuratieresets zou overleven. Mandiant beschreef ook een eigen SOCKS5-tunneler genaamd BARECLAW, die via aanpassingen aan de HAProxy-configuratie van de appliance vanaf internet bereikbaar werd gemaakt, het herhaaldelijk wissen van logs en misbruik van een beheerdersaccount waarvan de Jump Item-rechten waren verhoogd, zodat de actor externe sessies naar interne endpoints kon openen en documenten zoals software-inventarissen kon kopiëren.

Naast patchen adviseerde CISA de externe blootstelling van Remote Support-appliances te beperken tot noodzakelijke diensten, beheerinterfaces op vertrouwde netwerken te houden en netwerk- en geheugenforensisch onderzoek uit te voeren. Bij vermoeden van compromittering raadt de instantie aan de appliance te isoleren, een snapshot of forensisch image te bewaren, logs door te sturen naar een SIEM en te zoeken naar onbekende geprivilegieerde sessies, scripts of hiaten in de logging. Daarna roept zij op tot herbouw vanuit een bekende goede toestand, patchen, het roteren van alle inloggegevens die het apparaat bevatte, het intrekken van actieve supportsessies en het controleren van nieuwe MFA-registraties op geprivilegieerde accounts. The Hacker News meldde dat federale civiele instanties tot 19 oktober de tijd hebben om het lek te verhelpen, en ook het Canadese Cyber Centre heeft een advisory over het lek uitgebracht.

Volgens The Hacker News blijkt uit een tijdlijn van BeyondTrust dat het zero-day-misbruik van één zelfgehoste appliance teruggaat tot 29 augustus, en begon de leverancier naar vergelijkbare activiteit te zoeken nadat op 27 september de compromittering van een andere aanbieder van beveiligingsapparatuur openbaar werd. GTIG zei dat ARMORY CASTLE sinds ten minste oktober 2023 actief is en eerder edge-appliances heeft misbruikt. Mandiant waarschuwde dat de groep historisch gezien overstapt op breed, opportunistisch misbruik zodra een lek bekend wordt, zoals in 2024 na de Ivanti-lekken CVE-2023-46805 en CVE-2024-21887, en zei dat elke kwetsbare appliance die tijdens de misbruikperiode aan internet was blootgesteld „als mogelijk gecompromitteerd moet worden behandeld totdat deze is beoordeeld”.