Sårbarheten CVE-2026-102764 i BeyondTrust Remote Support utnyttjad som zero-day, tillagd i CISA:s KEV-katalog

BeyondTrust har släppt en åtgärd för CVE-2026-102764, en kritisk sårbarhet i produkten Remote Support, tidigare känd som Bomgar, som påverkar version 26.2.3 och tidigare. Den amerikanska myndigheten för cybersäkerhet och infrastrukturskydd (CISA) lade till sårbarheten i sin katalog över kända utnyttjade sårbarheter (KEV) den 16 oktober och publicerade vägledning som uppmanar organisationer med egenhostade enheter att agera omedelbart. Enligt Mandiant utnyttjade en misstänkt Kinakopplad spionageaktör buggen som zero-day i slutet av augusti, långt innan den offentliggjordes.

BeyondTrust offentliggjorde problemet den 15 oktober, enligt Mandiant. The Hacker News, som rapporterade ett CVSS-värde på 9,3, citerade leverantören som sa att interna komponenter i Remote Support inte korrekt kontrollerade varifrån inkommande meddelanden kom, vilket under vissa förhållanden kunde möjliggöra filoperationer på enheten. CISA beskriver sårbarheten som en autentiseringsförbikoppling, medan Mandiant sa att en oautentiserad fjärrangripare kan använda den för att manipulera filer, potentiellt få kontroll på värdnivå och nå alla inloggningsuppgifter som enheten lagrar eller förmedlar. Åtgärden är patchen BT26-05-RS under säkerhetsmeddelandet BT26-05. Mandiant sa att BeyondTrust tillämpade den på alla SaaS-klienter den 9 oktober, så hostade kunder behöver ingen uppdatering av enheten, även om granskningar av inloggningsuppgifter och konfiguration fortfarande gäller. Egenhostade system med version 24.3.1 eller senare måste installera patchen, eller bekräfta den via automatiska uppdateringar, medan äldre versioner först måste uppgraderas till en version som stöds; Mandiant påpekade att en uppgradering inte åtgärdar tidigare exponering.

Mandiant sa att företaget upptäckte aktiviteten under ett incidenthanteringsuppdrag, och GTIG tillskriver den ARMORY CASTLE, en grupp som tidigare spårades som UNC5221. Efter utnyttjandet placerade aktören ett obfuskerat PHP-webbskal som Mandiant kallar SAWFLY, skaffade root genom att skapa en kopia av systemskalet med SUID-behörighet, försökte dumpa lagrade inloggningsuppgifter med ett inbyggt kommandoradsverktyg från BeyondTrust och lade till ett startskript som ändrade sudoers-mallen så att obegränsad root-åtkomst skulle överleva omstarter och återställningar av konfigurationen. Mandiant beskrev också en specialbyggd SOCKS5-tunnlare vid namn BARECLAW, som gjordes nåbar från internet genom ändringar i enhetens HAProxy-konfiguration, upprepad radering av loggar samt missbruk av ett administratörskonto vars Jump Item-behörigheter höjdes så att aktören kunde öppna fjärrsessioner mot interna slutpunkter och kopiera dokument som programvaruinventeringar.

Utöver patchning rådde CISA att begränsa den externa exponeringen av Remote Support-enheter till nödvändiga tjänster, hålla administrativa gränssnitt på betrodda nätverk och genomföra nätverks- och minnesforensik. Vid misstänkt intrång rekommenderar myndigheten att enheten isoleras, att en ögonblicksbild eller forensisk avbildning bevaras, att loggar vidarebefordras till en SIEM och att man letar efter okända privilegierade sessioner, skript eller luckor i loggningen. Därefter uppmanar den till återuppbyggnad från ett känt säkert tillstånd, patchning, byte av alla inloggningsuppgifter som enheten innehöll, återkallande av aktiva supportsessioner och kontroll av nya MFA-registreringar på privilegierade konton. The Hacker News rapporterade att federala civila myndigheter har till den 19 oktober på sig att åtgärda sårbarheten, och Kanadas Cyber Centre har också utfärdat ett säkerhetsmeddelande om den.

Enligt The Hacker News tyder en tidslinje från BeyondTrust på att zero-day-utnyttjandet av en egenhostad enhet går tillbaka till den 29 augusti, och leverantören började leta efter liknande aktivitet efter att intrånget hos en annan leverantör av säkerhetsenheter blivit offentligt den 27 september. GTIG sa att ARMORY CASTLE har varit aktiv sedan åtminstone oktober 2023 och tidigare har utnyttjat edge-enheter. Mandiant varnade för att gruppen historiskt har övergått till bred, opportunistisk exploatering när en sårbarhet offentliggjorts, vilket sågs 2024 efter Ivanti-sårbarheterna CVE-2023-46805 och CVE-2024-21887, och sa att varje sårbar enhet som exponerats mot internet under utnyttjandeperioden bör ”betraktas som potentiellt komprometterad tills den har granskats”.