BeyondTrust Remote Support 漏洞 CVE-2026-102764 遭零日利用，已被列入 CISA KEV 目录

BeyondTrust 已发布针对 CVE-2026-102764 的修复程序。该漏洞为严重级别，存在于其 Remote Support 产品（前身为 Bomgar）中，影响 26.2.3 及更早版本。美国网络安全和基础设施安全局（CISA）于10月16日将该漏洞列入其已知被利用漏洞（KEV）目录，并发布指南，敦促运行自托管设备的组织立即采取行动。据 Mandiant 称，一个疑似与中国有关联的间谍行为者早在公开披露之前，于8月下旬就已将该漏洞作为零日漏洞加以利用。

据 Mandiant 称，BeyondTrust 于10月15日披露了该问题。The Hacker News 报道该漏洞的 CVSS 评分为 9.3，并援引厂商的说法称，Remote Support 内部组件未能正确核查传入消息的来源，在特定条件下可能导致攻击者在设备上执行文件操作。CISA 将该漏洞描述为身份验证绕过，而 Mandiant 表示，未经身份验证的远程攻击者可利用它操纵文件，可能借此获得主机级控制权，并触及该设备存储或代理的全部凭据。修复方式为安全公告 BT26-05 下的补丁 BT26-05-RS。Mandiant 称，BeyondTrust 已于10月9日为所有 SaaS 租户应用该补丁，因此托管客户无需更新设备，但仍需审查凭据和配置。运行 24.3.1 或更高版本的自托管系统需安装该补丁，或确认已通过自动更新完成安装；更早的版本则须先升级至受支持的版本。Mandiant 指出，升级并不能消除此前已存在的暴露风险。

Mandiant 表示，其在一次事件响应工作中发现了这些活动；GTIG 将其归因于 ARMORY CASTLE，该组织此前被追踪为 UNC5221。在利用漏洞后，该行为者植入了一个经过混淆的 PHP web shell（Mandiant 称之为 SAWFLY），通过创建一个带有 SUID 权限的系统 shell 副本获取 root 权限，试图借助 BeyondTrust 内置的命令行工具导出已存储的凭据，并添加了一个启动脚本来修改 sudoers 模板，使不受限制的 root 访问权限在重启和配置重置后依然保留。Mandiant 还描述了一个名为 BARECLAW 的定制 SOCKS5 隧道工具，攻击者通过修改设备的 HAProxy 配置使其可从互联网访问；此外还观察到反复删除日志，以及滥用一个管理员账户——该账户的 Jump Item 权限被提升，使行为者能够向内部终端发起远程会话，并复制软件清单等文档。

除安装补丁外，CISA 建议将 Remote Support 设备的外部暴露面限制在必要服务范围内，将管理界面置于受信任的网络中，并开展网络和内存取证。在怀疑遭入侵的情况下，该机构建议隔离设备、保留快照或取证镜像、将日志转发至 SIEM，并排查陌生的特权会话、脚本或日志缺口。随后，该机构要求从已知良好状态重建设备、安装补丁、轮换该设备所保存的全部凭据、撤销活动中的支持会话，并检查特权账户上新增的多因素认证（MFA）注册。The Hacker News 报道称，联邦民事机构须在10月19日前完成修复；加拿大网络安全中心也已就该漏洞发布安全公告。

据 The Hacker News 报道，BeyondTrust 的时间线显示，针对一台自托管设备的零日利用可追溯至8月29日；在另一家安全设备供应商遭入侵一事于9月27日公开后，该厂商开始排查类似活动。GTIG 称，ARMORY CASTLE 至少自2023年10月起就一直活跃，此前曾利用过边缘设备漏洞。Mandiant 警告称，该组织历来会在漏洞公开后转向大范围的机会主义利用，2024年 Ivanti 漏洞 CVE-2023-46805 和 CVE-2024-21887 公开后即是如此；Mandiant 还表示，在利用窗口期内暴露于互联网的任何易受攻击设备，都应“在完成审查之前被视为可能已遭入侵”。