BeyondTrust усунула вразливість нульового дня в Remote Support
BeyondTrust випустила патч для критичної вразливості CVE-2026-102764 у Remote Support, яку використовували в атаках із серпня.
Компанія BeyondTrust випустила виправлення критичної вразливості нульового дня CVE-2026-102764 у своєму рішенні Remote Support. За даними BleepingComputer, цю помилку використовували в атаках щонайменше з кінця серпня. Проблема зачіпає версію Remote Support 26.2.3 і попередні.
Вразливість дає неавторизованому віддаленому зловмиснику можливість виконувати файлові операції на пристроях, де оновлення ще не встановлено. Remote Support призначений для віддаленого усунення технічних проблем службами ІТ-підтримки, help desk і командами підтримки клієнтів.
Оновлення для хмарних і локальних систем
BeyondTrust повідомила, що 8 жовтня виправила проблему для всіх SaaS-клієнтів Remote Support і Privileged Remote Access. Власники локально розгорнутих інсталяцій мають встановити оновлення вручну, якщо в них не активовано автоматичне оновлення.
Компанія не розкрила детального технічного опису вади. Водночас вона заявила, що її експлуатував імовірно пов’язаний із Китаєм шпигунський актор, якого Mandiant і Google Threat Intelligence Group відстежують під назвою Armory Castle, раніше UNC5221. У CrowdStrike це угруповання називають Warp Panda.
Перебіг атак
За оцінкою дослідників Mandiant, зловмисники використовували CVE-2026-102764 для початкового доступу до пристроїв, а потім підвищували привілеї до рівня root через увімкнення дозволів Set User ID. Після цього вони розгортали вебоболонку Sawfly і тунелер Bareclaw, очищали журнали подій для уникнення виявлення та переміщувалися мережею, використовуючи скомпрометовані облікові дані адміністратора.
Mandiant попередила, що пристрої з уразливою версією, доступні з інтернету в період експлуатації помилки, слід вважати потенційно скомпрометованими до проведення перевірки. За даними Shadowserver, в інтернеті доступні понад 1400 інсталяцій BeyondTrust Remote Support, однак немає відомостей, скільки з них уже захищено або є приманками.
Дослідники також зазначили, що Armory Castle раніше атакувала крайові мережеві пристрої, використовуючи вразливості нульового дня в Citrix NetScaler та Ivanti Connect Secure. Mandiant допускає можливість ширшої експлуатації CVE-2026-102764 після публічного розкриття інформації про неї.
