Kaj se je zgodilo
BeyondTrust je stranke pozval k namestitvi popravka za kritično ranljivost v produktu Remote Support (RS), ki naj bi bila po navedbah več virov izkoriščana kot zero-day že od konca avgusta 2026, torej tedne pred razkritjem in izdajo popravka. Ranljivost je zavedena kot CVE-2026-102764 in v NVD ocenjena s CVSS 4.0 9,3, kar jo uvršča med kritične. Gre za nepravilno preverjanje izvora (origin validation) v notranji komponenti za sporočanje, ki jo, kot navaja eden od virov, prizadene v podprtih različicah Remote Support do vključno 26.2.3.
Po navedbah Cyber Security News naj bi napaka neavtenticiranemu oddaljenemu napadalcu omogočala izvajanje datotečnih operacij na prizadeti napravi, kar lahko vodi do popolnega nadzora nad gostiteljskim sistemom. BeyondTrust tehničnih podrobnosti ni objavil, saj naj bi po navedbah vira s tem ščitil stranke, ki popravka še niso namestile.
Preiskavo je po navedbah virov izvedel Mandiant oziroma Google Threat Intelligence Group (GTIG), ki dejavnost pripisuje skupini, imenovani Armory Castle (prej znani kot UNC5221 ali Warp Panda), suspektno povezani s Kitajsko. Napadalci naj bi izkoriščanje izvedli 29. avgusta zoper eno gostovano in eno samostojno nameščeno instanco Remote Support, nato pa pridobili korenske pravice, dostopali do shranjenih poverilnic ter po navedbah GTIG namestili orodji SAWFLY (webshell) in BARECLAW (tunneler) za nadaljnji dostop do omrežij žrtev.
Kaj to pomeni za slovenska in evropska podjetja
BeyondTrust Remote Support se pogosto uporablja za oddaljeno upravljanje in podporo IT sistemov, pogosto z dostopom do notranjih končnih točk organizacije. Kot opozarjajo analitiki GTIG, lahko vdor v tako napravo napadalcu odpre pot globlje v omrežje, ne le do same naprave za podporo. Za podjetja, ki uporabljajo ta izdelek za upravljanje dostopa zunanjih izvajalcev ali notranje IT podpore, to pomeni tveganje izgube poverilnic, povišanja pravic in nameščanja zlonamerne kode, ki lahko ostane neopažena dlje časa, glede na to, da je bila ranljivost po navedbah virov izkoriščana mesece pred razkritjem.
Priporočeni ukrepi
- Čim prej namestite popravek, ki ga je izdal BeyondTrust za Remote Support.
- Preverite dnevnike dostopa do naprav Remote Support za nenavadno aktivnost od konca avgusta 2026 naprej.
- Preverite morebitno prisotnost orodij, povezanih z zlonamerno dejavnostjo, ki jo omenjajo viri.
- Po namestitvi popravka razmislite o rotaciji poverilnic, do katerih je lahko dostopala prizadeta naprava.
- Omejite dostopnost appliance naprav zgolj na nujno potrebne notranje sisteme.
Vprašanja in odgovori
Je ranljivost CVE-2026-102764 vključena v katalog CISA KEV? To v razpoložljivih virih ni navedeno, zato tega ne moremo potrditi.
Ali obstaja javno dostopen PoC za to ranljivost? Viri tega ne omenjajo, BeyondTrust pa tehničnih podrobnosti namerno ni objavil zaradi zaščite strank, ki še niso namestile popravka.
Pogosta vprašanja
Kaj je CVE-2026-102764?
Gre za kritično ranljivost v BeyondTrust Remote Support, povezano z nepravilnim preverjanjem izvora v notranji komponenti za sporočanje, ocenjeno s CVSS 4.0 9,3.
Od kdaj naj bi bila ranljivost izkoriščana?
Po navedbah virov naj bi bila izkoriščana kot zero-day od konca avgusta 2026, torej pred uradnim razkritjem in izdajo popravka 15. oktobra.
Kdo stoji za napadi?
Viri napade pripisujejo skupini Armory Castle, prej znani kot UNC5221 ali Warp Panda, ki jo povezujejo s Kitajsko.
Sorodne objave
- Hekerji napadli francoske hladilnike v trgovinah E. Leclerc, Intermarche in Cooperative U
- AhsayCBS: napadalci izkoriščajo dve ranljivosti za namestitev web shellov in rudarjev kriptovalut
- Cisco opozarja na kritično ranljivost v Secure Email Gateway, ki omogoča zapis poljubnih datotek
Viri
- China-Linked Hackers Exploited BeyondTrust Zero-Day to Take Over Remote Support Servers
- BeyondTrust patches zero-day exploited in attacks since August
- BeyondTrust 0-Day Vulnerability Exploited Since August to Gain Full Admin Access in Minutes
- Chinese Hackers Exploit BeyondTrust Zero-Day to Gain Root Access and Deploy Backdoors