Зловмисники використали критичну уразливість у BeyondTrust Remote Support майже за сім тижнів до її публічного розкриття. Перші підтверджені атаки відбулися 29 серпня 2026 року, тоді як компанія оприлюднила відомості про проблему 15 жовтня.
Уразливість отримала ідентифікатор CVE-2026-102764 та оцінку 9,3 бала за шкалою CVSS 4.0. Вона стосується Remote Support — корпоративного інструмента, за допомогою якого служби підтримки віддалено підключаються до пристроїв.
Що відомо про атаки
За хронологією BeyondTrust, 29 серпня зловмисники використали раніше невідому уразливість проти двох інсталяцій Remote Support: однієї у хмарній інфраструктурі BeyondTrust та однієї, яку клієнт розміщував самостійно.
Ознаки атаки на хмарний екземпляр компанія виявила 28 вересня під час перевірки загроз і обмежила доступ протягом 27 хвилин після виявлення. Висновки щодо другого випадку їй передала команда Mandiant. Станом на публікацію свого звіту BeyondTrust повідомляла лише про цих двох постраждалих клієнтів і не бачила доказів нових атак після серпня.
Дослідники Google Threat Intelligence Group та Mandiant пов’язують атаки з групою ARMORY CASTLE, яку раніше відстежували під назвою UNC5221. Її вважають імовірно пов’язаною з Китаєм шпигунською групою. Це оцінка дослідників, а не встановлена публічно особа нападників.
Як працює уразливість
В офіційному бюлетені BT26-05 BeyondTrust пояснює, що внутрішній компонент Remote Support недостатньо перевіряв походження отриманих повідомлень. За певних умов віддалений нападник без облікового запису міг виконувати файлові операції на вразливому сервері.
Під час розслідуваної атаки зловмисники використали початковий доступ для завантаження шкідливих файлів, підвищення привілеїв і закріплення в системі. Mandiant описала встановлення вебоболонки SAWFLY і тунельного інструмента BARECLAW, спроби отримати збережені облікові дані та видалення журналів для приховування слідів.
Небезпека полягає не лише в контролі над самим сервером Remote Support. Через такий сервер адміністратори підключаються до інших пристроїв, тому його компрометація може відкрити шлях до внутрішньої інфраструктури організації.
Які версії зачеплено і чи є виправлення
Уразливими є підтримувані версії BeyondTrust Remote Support до 26.2.3 включно. Компанія випустила виправлення BT26-05 8 жовтня; для всіх клієнтів хмарної версії Remote Support його застосували автоматично до 9 жовтня.
Організаціям, які розміщують Remote Support на власних серверах, потрібно перевірити наявність оновлення. Якщо автоматичне встановлення вимкнено, патч слід застосувати вручну. Для версій, старіших за 24.3.1, спочатку необхідно перейти на підтримувану версію.
BeyondTrust також випустила запобіжне виправлення для Privileged Remote Access: продукт має спільний код із Remote Support, хоча компанія не виявила способу використати цю уразливість саме в ньому.
Чому одного оновлення недостатньо
Патч закриває уразливість, але не усуває наслідки можливого проникнення до його встановлення. Google і Mandiant радять перевіряти системи, які працювали на вразливій версії та були доступні з інтернету протягом періоду атак. Окрему увагу варто приділити журналам за межами самого сервера: нападники могли видалити локальні записи.
Якщо є ознаки компрометації, після оновлення або перевстановлення системи необхідно перевірити адміністративні облікові записи, сеанси віддаленого доступу та збережені секрети. Облікові дані слід змінювати після закриття уразливості — інакше зловмисник, який досі контролює сервер, може отримати й нові паролі.
Дослідники попереджають про можливість ширших атак після розкриття CVE-2026-102764. Це прогноз на підставі попередньої поведінки групи, а не підтвердження нових масових зламів.