ARMORY CASTLE wykorzystywał podatność w BeyondTrust Remote Support jako zero-day od końca sierpnia 2026 r.

BeyondTrust ujawnił podatność CVE-2026-102764 w Remote Support, którą według Mandiant podejrzewana o szpiegostwo grupa ARMORY CASTLE wykorzystywała jako zero-day od końca sierpnia. Atak kończy się wgraniem dowolnych plików na urządzenie.

15 października 2026 r. BeyondTrust ujawnił podatnośćPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. CVE-2026-102764 w urządzeniach Remote Support (dawniej Bomgar). To rozwiązanie do zdalnego dostępuZdalny dostęp Dostęp do systemu spoza sieci organizacji, na przykład serwisanta do sterownika przez internet. Bezpieczny tylko wtedy, gdy wiadomo, kto się łączy i przez jaki kanał., którym zespoły IT łączą się z odległymi komputerami i usuwają na nich problemy. Według Mandiant grupa ARMORY CASTLE, podejrzewana o szpiegostwo na rzecz Chin i wcześniej śledzona jako UNC5221, wykorzystała ją jako zero-dayZero-day Podatność wykorzystywana przez napastników, zanim producent ją ujawnił i udostępnił poprawkę. już pod koniec sierpnia 2026 r. Udany atak pozwala wgrać dowolne pliki.

BleepingComputer opisuje błąd jako obejście uwierzytelniania, które umożliwia nieuprzywilejowanemu atakującemu z zewnątrz operacje na plikach. Dotyczy wersji Remote Support 26.2.3 lub wcześniejszych. The Hacker News podaje inną charakterystykę: nieprawidłową weryfikację źródła w wewnętrznym komponencie komunikacyjnym, z oceną CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach. 9.3. Według BleepingComputer BeyondTrust załatał 8 października klientów usług SaaS, a instalacje we własnym zakresie trzeba aktualizować ręcznie, jeśli nie mają włączonych automatycznych aktualizacji.

Mandiant opisuje przebieg włamania. Po wykorzystaniu podatności atakujący zostawiał webshell SAWFLY (mangoapi.php), a potem skopiował /bin/sh do /usr/bin/dbus-authd i włączył bit SUID, co dało mu uprawnienia roota. Próbował wydobyć hasła i klucze poleceniem /ns/sbin/bt-secrets, a trwały dostęp zapewnił sobie skryptem zz-root-persist w katalogu /home/bomgar/sbin/post_boot.d. Usuwał logi, używał tunelera BARECLAW, podniósł uprawnienia przejętego konta administratora i otwierał sesje zdalne na systemach z listy urządzenia, skąd pobierał m.in. inwentarze oprogramowania.

Jeśli używasz Remote Support, sprawdź wersję i zainstaluj poprawkę od BeyondTrust. Mandiant zaleca traktować każde urządzenie dostępne z internetu w podatnej wersji w czasie ataków jako potencjalnie przejęte, dopóki nie zostanie przeanalizowane. Dostęp do logów jest utrudniony, bo wpisy świadczące o ataku leżą na zaszyfrowanej partycji, a atakujący je kasował. Mandiant spodziewa się szerokiej eksploatacji po ujawnieniu, a Shadowserver widzi w internecie ponad 1400 instancji BeyondTrust Remote Support.

Aktualizacja z 18 października 2026

Kanadyjskie Centrum Cyberbezpieczeństwa (Cyber Centre) doprecyzowało zakres poprawki. Łatka BT26-05-RS jest przeznaczona dla wersji od 24.3.1 do 26.2.3, a instalacje starsze niż 24.3.1 trzeba najpierw zaktualizować do nowszej obsługiwanej wersji. Według Cyber Centre BeyondTrust załatał klientów Remote Support SaaS i Privileged Remote Access SaaS do 9 października 2026 r., a nie 8 października, jak podałem za BleepingComputer. Ci klienci nie muszą nic robić. Cyber Centre opisuje błąd jako obejście uwierzytelniania przez podszycie się (CWE-290), wynikające z niewystarczającej weryfikacji źródła w wewnętrznych komponentach komunikacyjnych, co łączy oba opisy z mojego tekstu.

CISACISA Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC. dodała CVE-2026-102764 do katalogu Known Exploited Vulnerabilities 16 października 2026 r. Termin wykonania działań wskazany we wpisie to 19 października 2026 r. Wpis oznacza użycie w kampaniach ransomwareRansomware Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem. jako nieznane. Cyber Centre zaleca dodatkowo sprawdzić urządzenia pod kątem nieoczekiwanych operacji na plikach, zwłaszcza jeśli były dostępne z internetu w podatnej wersji.

The Record, powołując się na BeyondTrust i Mandiant, podaje, że atak z 29 sierpnia był pierwszym wykrytym wykorzystaniem podatności, a BeyondTrust dowiedział się o problemie 27 września. Atakujący zdobyli wszystkie poświadczenia przechowywane na urządzeniu i modyfikowali pliki, które przetrwają restart i reset konfiguracji. Zatem samo przywrócenie ustawień nie wystarcza do uznania urządzenia za czyste. Według BeyondTrust grupa jest aktywna od października 2023 r., a jej cele to m.in. usługi prawne, dostawcy SaaS, firmy outsourcingu procesów biznesowych, firmy technologiczne i administracja.

Aktualizacja z 18 października 2026, godz. 13:27

SOCRadar i CSO Online sprostowują datę wykrycia i dodają zalecenia dotyczące odbudowy urządzenia. Podałem za The Record, że BeyondTrust dowiedział się o problemie 27 września. Oba nowe źródła wskazują 28 września: tego dnia firma wykryła włamanie do instancji hostowanej u siebie podczas proaktywnego wyszukiwania zagrożeń. Pierwsze wykorzystanie z 29 sierpnia objęło jedną instancję hostowaną przez BeyondTrust i jedno urządzenie we własnej instalacji klienta. Poprawkę wydano 8 października, a instancje SaaS były załatane do 9 października, co porządkuje rozbieżność dat z mojego tekstu.

Privileged Remote Access współdzieli podatny kod. BeyondTrust nie znalazł drogi wykorzystania w tym produkcie, ale wydał poprawkę ostrożnościową i zaleca ją klientom PRA we własnej instalacji. Według CSO Online czujniki firmy zareagowały w czasie rzeczywistym na podniesienie uprawnień, lecz narzędzie do wstępnej analizy alertów w zewnętrznej platformie detekcji zamknęło je jako fałszywe alarmy. Żadna z firm nie podała, czy włamano się do innych klientów, a SOCRadar zaznacza, że na 15 października szerokiej eksploatacji nie potwierdzono.

Według CSO Online Mandiant zaleca zrobić migawkę podejrzanego urządzenia przed restartem i odbudować je z czystego obrazu, a poświadczenia rotować dopiero po załataniu, żeby nowe sekrety nie trafiły na urządzenie nadal kontrolowane przez atakującego. SOCRadar dodaje, że warto ograniczyć dostęp do /login i /appliance do zaufanych sieci oraz przesyłać logi poza urządzenie.

Źródła

• Google Threat Intelligence Group (Mandiant): ARMORY CASTLE Exploits BeyondTrust
• BleepingComputer: BeyondTrust patches zero-day exploited in attacks since August
• The Hacker News: China-Linked Hackers Exploited BeyondTrust Zero-Day to Take Over Remote Support Servers
• Canadian Centre for Cyber Security: AL26-025 - Critical vulnerability impacting BeyondTrust Remote Support - CVE-2026-102764
• Canadian Centre for Cyber Security: BeyondTrust security advisory (AV26-1054)
• The Record: Suspected Chinese espionage attackers abusing BeyondTrust IT support zero-day
• CISA Known Exploited Vulnerabilities: BeyondTrust Remote Support: BeyondTrust Remote Support Authentication Bypass by Spoofing Vulnerability (CVE-2026-102764)
• SOCRadar: CVE-2026-102764: BeyondTrust Zero-Day Exploited
• CSO Online: BeyondTrust zero-day tied to Chinese spies puts Remote Support users on alert

Pojęcia w tym tekście (6)

Podatność

Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.

Zdalny dostęp

Dostęp do systemu spoza sieci organizacji, na przykład serwisanta do sterownika przez internet. Bezpieczny tylko wtedy, gdy wiadomo, kto się łączy i przez jaki kanał.

Zero-day

Podatność wykorzystywana przez napastników, zanim producent ją ujawnił i udostępnił poprawkę.

CVSS

Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.

CISA

Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.

Ransomware

Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 15 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.