Luka CVE-2026-102764 w BeyondTrust Remote Support wykorzystana jako zero-day, dodana do katalogu KEV agencji CISA

BeyondTrust wydał poprawkę dla CVE-2026-102764, krytycznej luki w produkcie Remote Support, dawniej znanym jako Bomgar, która dotyczy wersji 26.2.3 i wcześniejszych. Amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) dodała lukę do katalogu Known Exploited Vulnerabilities (KEV) 16 października i opublikowała wytyczne wzywające organizacje korzystające z samodzielnie hostowanych urządzeń do natychmiastowego działania. Według Mandiant podejrzewany aktor szpiegowski powiązany z Chinami wykorzystywał błąd jako zero-day pod koniec sierpnia, na długo przed jego publicznym ujawnieniem.

Według Mandiant BeyondTrust ujawnił problem 15 października. The Hacker News, który podał ocenę CVSS 9,3, przytoczył słowa producenta, że wewnętrzne komponenty Remote Support nie sprawdzały prawidłowo, skąd pochodzą przychodzące komunikaty, co w pewnych warunkach mogło umożliwić operacje na plikach w urządzeniu. CISA opisuje lukę jako obejście uwierzytelniania, a Mandiant stwierdził, że nieuwierzytelniony zdalny atakujący może ją wykorzystać do manipulowania plikami, potencjalnie uzyskując kontrolę na poziomie hosta i dostęp do wszystkich poświadczeń, które urządzenie przechowuje lub w których przekazywaniu pośredniczy. Poprawką jest łatka BT26-05-RS w ramach biuletynu BT26-05. Mandiant podał, że BeyondTrust wdrożył ją u wszystkich dzierżawców SaaS 9 października, więc klienci hostowani nie muszą aktualizować urządzeń, choć nadal powinni przejrzeć poświadczenia i konfigurację. W systemach hostowanych samodzielnie w wersji 24.3.1 lub nowszej należy zainstalować poprawkę lub potwierdzić jej instalację przez automatyczne aktualizacje, a starsze wydania trzeba najpierw zaktualizować do wspieranej wersji. Mandiant zauważył, że aktualizacja nie usuwa skutków wcześniejszej ekspozycji.

Mandiant poinformował, że wykrył tę aktywność podczas działań reagowania na incydent, a GTIG przypisuje ją grupie ARMORY CASTLE, wcześniej śledzonej jako UNC5221. Po wykorzystaniu luki aktor umieścił zaciemniony web shell PHP, który Mandiant nazywa SAWFLY, uzyskał uprawnienia roota, tworząc kopię powłoki systemowej z uprawnieniami SUID, próbował zrzucić zapisane poświadczenia za pomocą wbudowanego narzędzia wiersza poleceń BeyondTrust i dodał skrypt startowy, który zmieniał szablon sudoers, tak aby nieograniczony dostęp roota przetrwał ponowne uruchomienia i resety konfiguracji. Mandiant opisał też niestandardowy tuneler SOCKS5 o nazwie BARECLAW, udostępniony z internetu dzięki zmianom w konfiguracji HAProxy urządzenia, wielokrotne usuwanie logów oraz nadużycie konta administratora, któremu podniesiono uprawnienia Jump Item, aby aktor mógł otwierać zdalne sesje do wewnętrznych punktów końcowych i kopiować dokumenty, takie jak inwentaryzacje oprogramowania.

Poza instalacją poprawki CISA zaleciła ograniczenie zewnętrznej ekspozycji urządzeń Remote Support do niezbędnych usług, utrzymywanie interfejsów administracyjnych w zaufanych sieciach oraz przeprowadzenie analizy śledczej sieci i pamięci. W razie podejrzenia włamania agencja zaleca odizolowanie urządzenia, zachowanie migawki lub obrazu śledczego, przekazywanie logów do systemu SIEM oraz poszukiwanie nieznanych sesji uprzywilejowanych, skryptów lub przerw w rejestrowaniu zdarzeń. Następnie wzywa do odbudowy ze znanego, czystego stanu, instalacji poprawki, zmiany wszystkich poświadczeń przechowywanych w urządzeniu, unieważnienia aktywnych sesji wsparcia i sprawdzenia nowych rejestracji MFA na kontach uprzywilejowanych. The Hacker News podał, że federalne agencje cywilne mają czas na usunięcie luki do 19 października, a kanadyjskie Cyber Centre również wydało biuletyn dotyczący tej luki.

Według The Hacker News z osi czasu BeyondTrust wynika, że wykorzystanie zero-day w jednym samodzielnie hostowanym urządzeniu sięga 29 sierpnia, a producent zaczął szukać podobnej aktywności po tym, jak 27 września ujawniono włamanie u innego dostawcy urządzeń bezpieczeństwa. Zespół GTIG podał, że ARMORY CASTLE działa co najmniej od października 2023 roku i wcześniej wykorzystywała urządzenia brzegowe. Mandiant ostrzegł, że grupa w przeszłości przechodziła do szerokiej, oportunistycznej eksploatacji, gdy tylko luka została ujawniona, jak w 2024 roku po lukach Ivanti CVE-2023-46805 i CVE-2024-21887, i stwierdził, że każde podatne urządzenie wystawione do internetu w okresie wykorzystywania luki należy „traktować jako potencjalnie skompromitowane, dopóki nie zostanie sprawdzone”.