BeyondTrust potwierdził aktywne wykorzystanie krytycznej podatności zero-day w platformie Remote Support.
Atakujący przejmowali serwery zdalnego dostępu, uzyskiwali uprawnienia root, a następnie wykorzystywali je do łączenia się z kolejnymi systemami wewnątrz sieci.
Podatność otrzymała oznaczenie CVE-2026-102764 i wynik CVSS 9,3. BeyondTrust opublikował szczegóły i poprawki 15 października 2026 r.
Nie ma potwierdzenia, że w opisanych incydentach hakerzy dostali się do środowisk OT. Platformy takie jak BeyondTrust często jednak wykorzystywane są w celu zapewnienia dostępu do systemów w OT.
Zero-day wykorzystywany od sierpnia
BeyondTrust poinformował, że 29 sierpnia napastnicy wykorzystali nieznaną wcześniej podatność przeciwko jednej instancji Remote Support utrzymywanie bezpośrednio przez BeyondTrust oraz jednej instalacji działającej u klienta.
Kompromitację wykryto dużo później, podczas działań prowadzonych 28 września,a szczegóły podatności i poprawki producent opublikował 15 października.
CVE-2026-102764 pozwala nieuwierzytelnionemu napastnikowi wykonywać operacje na plikach urządzenia. W rzeczywistych atakach umożliwiło to całkowite przejęcie systemu.
Po przejęciu serwera napastnicy wchodzili dalej do sieci
Na przejętych urządzeniach napastnicy uzyskiwali uprawnienia root, instalowali mechanizmy pozwalające utrzymać dostęp i próbowali pozyskać zapisane w systemie dane uwierzytelniające.
Usuwali również logi, utrudniając późniejsze ustalenie przebiegu ataku.
Mandiant potwierdził też, że hakerzy wykorzystywali natywne funkcje samego BeyondTrusta i uruchamiali sesje z systemami znajdującymi się wewnątrz sieci. Z przejętych systemów pobierali również dokumenty przydatne do dalszego rozpoznania infrastruktury (czyli platforma służąca do zdalnego dostępu po przejęciu zaczęła służyć do tego samego, tyle że już napastnikom).
W takim przypadku samo zainstalowanie poprawki nie zamyka tematu. Trzeba jeszcze sprawdzić, co napastnik zrobił po uzyskaniu dostępu i jakie dane uwierzytelniające mógł pozyskać.
Które wersje są podatne
Problem dotyczy instalacji BeyondTrust Remote Support do wersji 26.2.3 włącznie.
Producent udostępnił poprawki dla wspieranych wersji. Starsze instalacje wymagają najpierw aktualizacji do wspieranej wersji.
Środowiska Remote Support działające w modelu SaaS zostały przez BeyondTrust automatycznie zabezpieczone do 9 października.
BeyondTrust rekomenduje również aktualizację swojego innego popularnego produktu do zdalnego dostępu – PRA (Privileged Remote Access), mimo że nie potwierdzono wykorzystania tej podatności przeciwko tej usłudze.
Podejrzenie działalności grupy powiązanej z Chinami
Mandiant i Google Threat Intelligence Group przypisują obserwowaną aktywność grupie ARMORY CASTLE, wcześniej śledzonej jako UNC5221.
Badacze podejrzewają jej powiązania z Chinami. BeyondTrust ocenia pewność tej atrybucji jako średnią do wysokiej. Nie jest to w takim razie oficjalnie i jendoznacznie potwierdzone.
Źródła:
- https://www.beyondtrust.com/trust-center/security-advisories/bt26-05
- https://www.beyondtrust.com/blog/entry/bt26-05
- https://cloud.google.com/blog/topics/threat-intelligence/armory-castle-exploits-beyondtrust/
- https://www.reuters.com/technology/google-warns-suspected-china-linked-hackers-could-exploit-beyondtrust-flaw-2026-10-15/
- https://www.bleepingcomputer.com/news/security/beyondtrust-patches-zero-day-exploited-in-attacks-since-august/
