Lỗ hổng CVE-2026-102764 trong BeyondTrust Remote Support bị khai thác zero-day, được đưa vào danh mục CISA KEV

BeyondTrust đã phát hành bản sửa lỗi cho CVE-2026-102764, một lỗ hổng nghiêm trọng trong sản phẩm Remote Support, trước đây có tên Bomgar, ảnh hưởng đến phiên bản 26.2.3 trở về trước. Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã đưa lỗ hổng này vào danh mục Known Exploited Vulnerabilities (KEV) ngày 16 tháng 10 và công bố hướng dẫn kêu gọi các tổ chức vận hành thiết bị tự triển khai hành động ngay lập tức. Theo Mandiant, một tác nhân gián điệp bị nghi có liên hệ với Trung Quốc đã khai thác lỗi này dưới dạng zero-day vào cuối tháng 8, rất lâu trước khi lỗ hổng được công bố công khai.

Theo Mandiant, BeyondTrust công bố vấn đề này ngày 15 tháng 10. The Hacker News, trang đưa tin điểm CVSS là 9,3, dẫn lời nhà cung cấp cho biết các thành phần nội bộ của Remote Support không kiểm tra đúng cách nguồn gốc của thông điệp đến, điều này trong một số điều kiện nhất định có thể cho phép thực hiện thao tác tệp trên thiết bị. CISA mô tả lỗ hổng là lỗi vượt qua xác thực, còn Mandiant cho biết kẻ tấn công từ xa không cần xác thực có thể lợi dụng nó để thao túng tệp, có khả năng giành quyền kiểm soát cấp máy chủ và tiếp cận mọi thông tin xác thực mà thiết bị lưu trữ hoặc làm trung gian. Bản sửa là bản vá BT26-05-RS thuộc khuyến cáo BT26-05. Mandiant cho biết BeyondTrust đã áp dụng bản vá cho mọi tenant SaaS ngày 9 tháng 10, nên khách hàng dùng bản hosted không cần cập nhật thiết bị, dù vẫn cần rà soát thông tin xác thực và cấu hình. Hệ thống tự triển khai từ phiên bản 24.3.1 trở lên cần cài bản vá, hoặc xác nhận đã được cài qua cập nhật tự động, còn các bản cũ hơn phải nâng cấp lên phiên bản được hỗ trợ trước; Mandiant lưu ý rằng việc nâng cấp không khắc phục được tình trạng phơi nhiễm trước đó.

Mandiant cho biết họ phát hiện hoạt động này trong một đợt ứng phó sự cố, và GTIG quy hoạt động này cho ARMORY CASTLE, nhóm trước đây được theo dõi với tên UNC5221. Sau khi khai thác, tác nhân này đã cài một web shell PHP được làm rối mã mà Mandiant gọi là SAWFLY, chiếm quyền root bằng cách tạo bản sao shell hệ thống với quyền SUID, tìm cách trích xuất thông tin xác thực được lưu trữ bằng một công cụ dòng lệnh tích hợp của BeyondTrust, và thêm một script khởi động sửa đổi mẫu sudoers để quyền root không hạn chế vẫn tồn tại sau khi khởi động lại và đặt lại cấu hình. Mandiant cũng mô tả một công cụ tạo đường hầm SOCKS5 tùy chỉnh có tên BARECLAW, được làm cho có thể truy cập từ internet thông qua việc chỉnh sửa cấu hình HAProxy của thiết bị, việc xóa nhật ký nhiều lần, và việc lạm dụng một tài khoản quản trị viên có quyền Jump Item bị nâng lên để tác nhân có thể mở phiên từ xa tới các endpoint nội bộ và sao chép tài liệu như danh mục phần mềm.

Ngoài việc vá lỗi, CISA khuyên hạn chế mức độ phơi bày ra bên ngoài của các thiết bị Remote Support chỉ ở những dịch vụ cần thiết, giữ giao diện quản trị trong các mạng tin cậy, và tiến hành điều tra pháp y mạng và bộ nhớ. Khi nghi ngờ bị xâm nhập, cơ quan này khuyến nghị cô lập thiết bị, lưu giữ bản snapshot hoặc ảnh pháp y, chuyển tiếp nhật ký đến SIEM, và truy tìm các phiên đặc quyền lạ, script hoặc khoảng trống trong nhật ký. Sau đó, cơ quan này kêu gọi xây dựng lại từ trạng thái được xác nhận là sạch, vá lỗi, thay đổi mọi thông tin xác thực mà thiết bị nắm giữ, thu hồi các phiên hỗ trợ đang hoạt động và kiểm tra các đăng ký MFA mới trên tài khoản đặc quyền. The Hacker News đưa tin rằng các cơ quan dân sự liên bang có thời hạn đến ngày 19 tháng 10 để khắc phục, và Trung tâm An ninh mạng Canada (Cyber Centre) cũng đã ban hành khuyến cáo về lỗ hổng này.

Theo The Hacker News, dòng thời gian của BeyondTrust cho thấy việc khai thác zero-day nhắm vào một thiết bị tự triển khai bắt đầu từ ngày 29 tháng 8, và nhà cung cấp đã bắt đầu truy tìm hoạt động tương tự sau khi vụ xâm nhập tại một nhà cung cấp thiết bị bảo mật khác được công khai vào ngày 27 tháng 9. GTIG cho biết ARMORY CASTLE đã hoạt động ít nhất từ tháng 10 năm 2023 và từng khai thác các thiết bị biên. Mandiant cảnh báo rằng trong quá khứ nhóm này thường chuyển sang khai thác trên diện rộng, mang tính cơ hội ngay khi một lỗ hổng được công bố, như đã thấy vào năm 2024 sau các lỗ hổng Ivanti CVE-2023-46805 và CVE-2024-21887, đồng thời cho biết mọi thiết bị có lỗ hổng bị phơi bày ra internet trong khoảng thời gian bị khai thác cần được “coi là có khả năng đã bị xâm nhập cho đến khi được rà soát”.