Уязвимость CVE-2026-102764 в BeyondTrust Remote Support эксплуатировалась как уязвимость нулевого дня и внесена в каталог CISA KEV

Компания BeyondTrust выпустила исправление для CVE-2026-102764 — критической уязвимости в продукте Remote Support (ранее известном как Bomgar), затрагивающей версии 26.2.3 и более ранние. Агентство по кибербезопасности и защите инфраструктуры США (CISA) 16 октября внесло уязвимость в свой каталог известных эксплуатируемых уязвимостей (KEV) и опубликовало рекомендации, призывающие организации с самостоятельно размещёнными устройствами действовать незамедлительно. По данным Mandiant, предположительно связанная с Китаем шпионская группировка эксплуатировала ошибку как уязвимость нулевого дня в конце августа, задолго до её публичного раскрытия.

По данным Mandiant, BeyondTrust раскрыла проблему 15 октября. The Hacker News, сообщивший об оценке CVSS 9,3, процитировал заявление производителя о том, что внутренние компоненты Remote Support не проверяли должным образом источник входящих сообщений, что при определённых условиях могло позволить выполнять файловые операции на устройстве. CISA описывает уязвимость как обход аутентификации, а Mandiant заявила, что неаутентифицированный удалённый злоумышленник может использовать её для манипуляций с файлами, потенциально получая контроль на уровне хоста и доступ ко всем учётным данным, которые устройство хранит или передаёт. Исправление — патч BT26-05-RS в рамках бюллетеня BT26-05. По словам Mandiant, BeyondTrust применила его ко всем SaaS-клиентам 9 октября, поэтому клиентам облачной версии обновлять устройства не нужно, хотя проверка учётных данных и конфигурации по-прежнему необходима. В самостоятельно размещённых системах версии 24.3.1 или новее патч нужно установить или подтвердить его установку через автоматические обновления, а более старые выпуски сначала необходимо обновить до поддерживаемой версии; Mandiant отметила, что обновление не устраняет последствий ранее существовавшей уязвимости.

Mandiant сообщила, что обнаружила эту активность в ходе реагирования на инцидент, а GTIG приписывает её группировке ARMORY CASTLE, ранее отслеживавшейся как UNC5221. После эксплуатации злоумышленник разместил обфусцированный веб-шелл на PHP, который Mandiant называет SAWFLY, получил права root, создав копию системной оболочки с разрешениями SUID, пытался выгрузить сохранённые учётные данные с помощью встроенного инструмента командной строки BeyondTrust и добавил сценарий автозапуска, изменявший шаблон sudoers так, чтобы неограниченный root-доступ сохранялся после перезагрузок и сброса конфигурации. Mandiant также описала специально разработанный SOCKS5-туннелер под названием BARECLAW, ставший доступным из интернета благодаря изменениям в конфигурации HAProxy на устройстве, неоднократное удаление журналов и злоупотребление учётной записью администратора, чьи разрешения Jump Item были повышены, чтобы злоумышленник мог открывать удалённые сеансы к внутренним конечным точкам и копировать документы, например перечни программного обеспечения.

Помимо установки патча, CISA посоветовало ограничить внешний доступ к устройствам Remote Support только необходимыми службами, держать административные интерфейсы в доверенных сетях и провести сетевую экспертизу и анализ памяти. При подозрении на компрометацию агентство рекомендует изолировать устройство, сохранить снимок или криминалистический образ, перенаправить журналы в SIEM и искать незнакомые привилегированные сеансы, сценарии или пробелы в журналировании. Затем оно призывает восстановить устройство из заведомо исправного состояния, установить патч, сменить все учётные данные, хранившиеся на устройстве, отозвать активные сеансы поддержки и проверить новые регистрации MFA для привилегированных учётных записей. The Hacker News сообщил, что федеральные гражданские ведомства должны устранить уязвимость до 19 октября, а Канадский центр кибербезопасности также выпустил бюллетень по этой уязвимости.

По данным The Hacker News, хронология BeyondTrust указывает на то, что эксплуатация уязвимости нулевого дня на одном самостоятельно размещённом устройстве датируется 29 августа, а производитель начал поиск подобной активности после того, как 27 сентября стало известно о компрометации другого поставщика устройств безопасности. GTIG сообщила, что ARMORY CASTLE действует как минимум с октября 2023 года и ранее уже эксплуатировала периферийные устройства. Mandiant предупредила, что после раскрытия уязвимостей группировка исторически переходила к массовой оппортунистической эксплуатации, как это было в 2024 году после уязвимостей Ivanti CVE-2023-46805 и CVE-2024-21887, и заявила, что любое уязвимое устройство, доступное из интернета в период эксплуатации, следует «считать потенциально скомпрометированным до тех пор, пока оно не будет проверено».