Уразливість CVE-2026-102764 у BeyondTrust Remote Support експлуатувалася як уразливість нульового дня й додана до каталогу CISA KEV

Компанія BeyondTrust випустила виправлення для CVE-2026-102764 — критичної уразливості в продукті Remote Support (раніше відомому як Bomgar), що зачіпає версії 26.2.3 і давніші. Агентство з кібербезпеки та захисту інфраструктури США (CISA) 16 жовтня додало уразливість до свого каталогу відомих експлуатованих уразливостей (KEV) та опублікувало рекомендації, у яких закликає організації із самостійно розміщеними пристроями діяти негайно. За даними Mandiant, імовірно пов’язане з Китаєм шпигунське угруповання експлуатувало помилку як уразливість нульового дня наприкінці серпня, задовго до її публічного розкриття.

За даними Mandiant, BeyondTrust розкрила проблему 15 жовтня. The Hacker News, який повідомив про оцінку CVSS 9,3, процитував заяву виробника про те, що внутрішні компоненти Remote Support належним чином не перевіряли джерело вхідних повідомлень, що за певних умов могло дозволити виконувати файлові операції на пристрої. CISA описує уразливість як обхід автентифікації, а Mandiant заявила, що неавтентифікований віддалений зловмисник може використати її для маніпуляцій із файлами, потенційно отримуючи контроль на рівні хоста та доступ до всіх облікових даних, які пристрій зберігає або передає. Виправлення — патч BT26-05-RS у межах бюлетеня BT26-05. За словами Mandiant, BeyondTrust застосувала його до всіх SaaS-клієнтів 9 жовтня, тож клієнтам хмарної версії оновлювати пристрої не потрібно, хоча перевірка облікових даних і конфігурації все одно необхідна. У самостійно розміщених системах версії 24.3.1 або новішої патч слід встановити чи підтвердити його встановлення через автоматичні оновлення, а старіші випуски спершу необхідно оновити до підтримуваної версії; Mandiant зазначила, що оновлення не усуває наслідків раніше наявної уразливості.

Mandiant повідомила, що виявила цю активність під час реагування на інцидент, а GTIG приписує її угрупованню ARMORY CASTLE, яке раніше відстежувалося як UNC5221. Після експлуатації зловмисник розмістив обфускований веб-шелл на PHP, який Mandiant називає SAWFLY, отримав права root, створивши копію системної оболонки з дозволами SUID, намагався вивантажити збережені облікові дані за допомогою вбудованого інструмента командного рядка BeyondTrust і додав сценарій автозапуску, що змінював шаблон sudoers так, щоб необмежений root-доступ зберігався після перезавантажень і скидання конфігурації. Mandiant також описала спеціально розроблений SOCKS5-тунелер під назвою BARECLAW, який став доступним з інтернету завдяки змінам у конфігурації HAProxy на пристрої, неодноразове видалення журналів і зловживання обліковим записом адміністратора, чиї дозволи Jump Item було підвищено, щоб зловмисник міг відкривати віддалені сеанси до внутрішніх кінцевих точок і копіювати документи, як-от переліки програмного забезпечення.

Окрім встановлення патча, CISA порадило обмежити зовнішній доступ до пристроїв Remote Support лише необхідними службами, тримати адміністративні інтерфейси в довірених мережах і провести мережеву експертизу та аналіз пам’яті. У разі підозри на компрометацію агентство рекомендує ізолювати пристрій, зберегти знімок або криміналістичний образ, переспрямувати журнали до SIEM і шукати незнайомі привілейовані сеанси, сценарії чи прогалини в журналюванні. Потім воно закликає відновити пристрій із завідомо справного стану, встановити патч, змінити всі облікові дані, що зберігалися на пристрої, відкликати активні сеанси підтримки та перевірити нові реєстрації MFA для привілейованих облікових записів. The Hacker News повідомив, що федеральні цивільні відомства мають усунути уразливість до 19 жовтня, а Канадський центр кібербезпеки також випустив бюлетень щодо цієї уразливості.

За даними The Hacker News, хронологія BeyondTrust вказує на те, що експлуатація уразливості нульового дня на одному самостійно розміщеному пристрої датується 29 серпня, а виробник почав пошук подібної активності після того, як 27 вересня стало відомо про компрометацію іншого постачальника пристроїв безпеки. GTIG повідомила, що ARMORY CASTLE діє щонайменше з жовтня 2023 року й раніше вже експлуатувала периферійні пристрої. Mandiant попередила, що після розкриття уразливостей угруповання історично переходило до масової опортуністичної експлуатації, як це було у 2024 році після уразливостей Ivanti CVE-2023-46805 і CVE-2024-21887, і заявила, що будь-який уразливий пристрій, доступний з інтернету під час періоду експлуатації, слід «вважати потенційно скомпрометованим, доки його не буде перевірено».