BeyondTrust Remote Support açığı CVE-2026-102764 sıfırıncı gün olarak istismar edildi, CISA KEV kataloğuna eklendi

BeyondTrust, eski adı Bomgar olan Remote Support ürünündeki, 26.2.3 ve önceki sürümleri etkileyen kritik güvenlik açığı CVE-2026-102764 için bir düzeltme yayımladı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), açığı 16 Ekim'de İstismar Edilen Bilinen Güvenlik Açıkları (KEV) kataloğuna ekledi ve kendi barındırdığı cihazları çalıştıran kuruluşları derhal harekete geçmeye çağıran bir rehber yayımladı. Mandiant'a göre, Çin bağlantılı olduğundan şüphelenilen bir casusluk aktörü açığı, kamuya duyurulmasından çok önce, Ağustos sonunda sıfırıncı gün olarak istismar etti.

Mandiant'a göre BeyondTrust sorunu 15 Ekim'de duyurdu. CVSS puanını 9,3 olarak bildiren The Hacker News, üreticinin, dahili Remote Support bileşenlerinin gelen mesajların kaynağını düzgün denetlemediğini ve bunun belirli koşullar altında cihaz üzerinde dosya işlemlerine olanak tanıyabileceğini söylediğini aktardı. CISA açığı bir kimlik doğrulama atlatma olarak tanımlarken Mandiant, kimliği doğrulanmamış uzak bir saldırganın bunu dosyaları manipüle etmek için kullanabileceğini, böylece potansiyel olarak ana makine düzeyinde kontrol elde edip cihazın sakladığı veya aracılık ettiği tüm kimlik bilgilerine erişebileceğini söyledi. Düzeltme, BT26-05 bülteni kapsamındaki BT26-05-RS yamasıdır. Mandiant'a göre BeyondTrust yamayı 9 Ekim'de tüm SaaS kiracılarına uyguladı; bu nedenle barındırılan hizmet müşterilerinin cihaz güncellemesi yapması gerekmiyor, ancak kimlik bilgisi ve yapılandırma incelemeleri yine de geçerli. 24.3.1 veya daha yeni sürümdeki kendi barındırılan sistemlerde yamanın yüklenmesi ya da otomatik güncellemelerle yüklendiğinin doğrulanması gerekirken, daha eski sürümlerin önce desteklenen bir sürüme yükseltilmesi gerekiyor; Mandiant, yükseltmenin daha önceki maruziyeti gidermediğini belirtti.

Mandiant, faaliyeti bir olay müdahalesi çalışması sırasında ortaya çıkardığını söyledi; GTIG ise faaliyeti, daha önce UNC5221 olarak izlenen ARMORY CASTLE grubuna atfediyor. İstismarın ardından aktör, Mandiant'ın SAWFLY adını verdiği gizlenmiş bir PHP web kabuğu yerleştirdi, sistem kabuğunun SUID izinlerine sahip bir kopyasını oluşturarak root yetkisi elde etti, yerleşik bir BeyondTrust komut satırı aracıyla saklanan kimlik bilgilerini dökmeye çalıştı ve sudoers şablonunu değiştiren bir başlangıç betiği ekleyerek sınırsız root erişiminin yeniden başlatmalar ve yapılandırma sıfırlamalarından sonra da korunmasını sağladı. Mandiant ayrıca, cihazın HAProxy yapılandırmasında yapılan değişikliklerle internetten erişilebilir hale getirilen BARECLAW adlı özel bir SOCKS5 tünelleyiciyi, tekrarlanan log silme işlemlerini ve aktörün dahili uç noktalara uzak oturumlar açıp yazılım envanterleri gibi belgeleri kopyalayabilmesi için Jump Item izinleri yükseltilen bir yönetici hesabının kötüye kullanılmasını tanımladı.

CISA, yamanın ötesinde Remote Support cihazlarının dış erişime açıklığının gerekli hizmetlerle sınırlandırılmasını, yönetim arayüzlerinin güvenilir ağlarda tutulmasını ve ağ ile bellek adli analizleri yapılmasını tavsiye etti. Ajans, ihlalden şüphelenilen durumlarda cihazın izole edilmesini, bir anlık görüntünün veya adli imajın korunmasını, logların bir SIEM'e iletilmesini ve tanıdık olmayan ayrıcalıklı oturumlar, betikler veya kayıt boşlukları aranmasını öneriyor. Ardından bilinen temiz bir durumdan yeniden kurulum yapılması, yamanın uygulanması, cihazın tuttuğu tüm kimlik bilgilerinin değiştirilmesi, aktif destek oturumlarının iptal edilmesi ve ayrıcalıklı hesaplardaki yeni MFA kayıtlarının kontrol edilmesi çağrısında bulunuyor. The Hacker News, federal sivil kurumların açığı gidermek için 19 Ekim'e kadar süreleri olduğunu bildirdi; Kanada Siber Güvenlik Merkezi de açıkla ilgili bir bülten yayımladı.

The Hacker News'e göre bir BeyondTrust zaman çizelgesi, kendi barındırılan bir cihazın sıfırıncı gün istismarının 29 Ağustos'a dayandığını gösteriyor; üretici, başka bir güvenlik cihazı sağlayıcısının ihlali 27 Eylül'de kamuoyuna duyurulduktan sonra benzer faaliyetleri aramaya başladı. GTIG, ARMORY CASTLE'ın en az Ekim 2023'ten beri aktif olduğunu ve daha önce uç ağ cihazlarını istismar ettiğini söyledi. Mandiant, grubun geçmişte bir açık duyurulduktan sonra, 2024'te Ivanti açıkları CVE-2023-46805 ve CVE-2024-21887 sonrasında görüldüğü gibi, geniş çaplı ve fırsatçı istismara geçtiği uyarısında bulundu ve istismar penceresi boyunca internete açık olan her savunmasız cihazın “incelenene kadar potansiyel olarak ele geçirilmiş kabul edilmesi” gerektiğini söyledi.