Злоумышленники использовали критическую уязвимость в BeyondTrust Remote Support 29 августа 2026 года — почти за семь недель до того, как о ней публично сообщили 15 октября. Проблема получила обозначение CVE-2026-102764 и оценку 9,3 балла по шкале CVSS 4.0.
Remote Support — корпоративный инструмент для удалённой технической поддержки. Через него специалисты подключаются к устройствам пользователей, поэтому компрометация такого сервера опасна не только для самого продукта, но и для систем, доступ к которым он обеспечивает.
Что известно о первых атаках
Согласно хронологии BeyondTrust, 29 августа злоумышленники атаковали две инсталляции Remote Support: одну облачную, обслуживаемую самой компанией, и одну систему, которую клиент размещал на собственных мощностях.
Следы взлома облачной инсталляции BeyondTrust обнаружила 28 сентября во время проверки угроз. Доступ ограничили в течение 27 минут после обнаружения. Второй случай расследовала Mandiant. На момент публикации отчёта BeyondTrust сообщала только об этих двух пострадавших клиентах и не располагала доказательствами новых действий нападавших после августа.
Google Threat Intelligence Group и Mandiant связывают атаки с группировкой ARMORY CASTLE, ранее известной как UNC5221. Исследователи считают её предположительно связанной с Китаем шпионской группой. Это оценка специалистов по анализу угроз, а не установленная личность атакующих.
В чём заключается уязвимость
Согласно бюллетеню безопасности BT26-05, внутренний компонент Remote Support недостаточно проверял источник поступающих сообщений. При определённых условиях удалённый злоумышленник без авторизации мог выполнять файловые операции на уязвимом сервере.
В расследованных случаях полученный доступ использовали для загрузки вредоносных файлов, повышения привилегий и закрепления в системе. Mandiant описала веб-оболочку SAWFLY и туннельный инструмент BARECLAW. Нападавшие также пытались получить сохранённые учётные данные и удаляли журналы, чтобы затруднить расследование.
Контроль над сервером удалённой поддержки особенно опасен из-за его роли в инфраструктуре: такой сервер хранит или передаёт данные для доступа к другим устройствам организации.
Какие версии затронуты
Уязвимость касается поддерживаемых версий BeyondTrust Remote Support до 26.2.3 включительно. Исправление BT26-05 компания выпустила 8 октября. По её данным, к 9 октября оно уже было применено для всех клиентов облачной версии Remote Support.
Владельцам собственных серверов необходимо проверить установку патча. Если автоматические обновления отключены, его нужно установить вручную. Для версий старше 24.3.1 сначала потребуется обновление до поддерживаемой версии.
BeyondTrust также подготовила профилактический патч для Privileged Remote Access, поскольку продукты используют общий код. При этом компания заявляет, что не обнаружила способа эксплуатировать данную уязвимость непосредственно в Privileged Remote Access.
Почему недостаточно просто установить патч
Обновление закрывает путь для новых атак через CVE-2026-102764, но не удаляет следы возможного взлома, произошедшего до установки исправления. Google и Mandiant рекомендуют проверить все уязвимые инсталляции, которые были доступны из интернета в период атак. Особенно важны журналы, сохранённые вне самого сервера: локальные записи злоумышленники могли удалить.
При подозрении на взлом следует проверить изменения прав администраторов, сеансы удалённого доступа и хранилища учётных данных. Пароли и ключи нужно менять уже после установки исправления или восстановления системы: если нападавший всё ещё контролирует сервер, он может получить и новые секреты.
Исследователи допускают, что после публичного раскрытия уязвимости число попыток её эксплуатации вырастет. Пока это предупреждение, основанное на предыдущих действиях группировки, а не подтверждение массовых атак.