حذرت BeyondTrust عملاءها من ثغرة أمنية حرجة في حل Remote Support (RS)، بعدما أكدت استغلالها في هجمات يوم-صفر منذ أواخر أغسطس. تحمل الثغرة المعرف CVE-2026-102764، وتؤثر في الإصدارات 26.2.3 وما قبلها، وتتيح لمهاجم عن بُعد وغير متمتع بصلاحيات تجاوز المصادقة وتنفيذ عمليات على الملفات في الأجهزة غير المرقعة.
أصدرت الشركة التصحيح في 8 أكتوبر لعملاء Remote Support وPrivileged Remote Access الذين يستخدمون نسخ SaaS. أما البيئات المستضافة ذاتياً، فعلى مسؤوليها تثبيت التحديث يدوياً إذا لم تكن التحديثات التلقائية مفعلة. ورغم أن اختبارات BeyondTrust الداخلية لم تحدد طريقة لاستغلال الثغرة في Privileged Remote Access، فإن المنتج يشترك مع Remote Support في الشيفرة المتأثرة، لذلك أصدرت الشركة تصحيحاً له أيضاً وتوصي عملاءه المستضافين ذاتياً بتطبيقه فوراً.
استغلال للوصول ثم رفع الصلاحيات
رصد باحثو Mandiant وGoogle Threat Intelligence Group الهجمات ونسبوها إلى جهة تحمل اسم Armory Castle، وكانت تُعرف سابقاً باسم UNC5221، بينما تسميها CrowdStrike Warp Panda. ويُشتبه في ارتباط المجموعة بالصين.
استغل المهاجمون الثغرة للوصول الأولي إلى الأجهزة، ثم رفعوا صلاحياتهم إلى root عبر تفعيل أذونات Set User ID (SUID). بعد ذلك نشروا برمجية الويب الخبيثة Sawfly وأداة Bareclaw للإنفاق عبر الشبكة، ومسحوا السجلات لتقليل فرص اكتشافهم، واستخدموا بيانات اعتماد Administrator المخترقة لفتح جلسات عن بُعد على أنظمة أخرى داخل الشبكة.
بحسب Mandiant، منح الوصول إلى المضيف بصلاحيات root المهاجمين قدرة على الوصول إلى بيانات الاعتماد التي يخزنها الجهاز أو يمررها، وتعديل ملفات تستمر بعد إعادة التشغيل وإعادة ضبط الإعدادات. لذلك أوصى الباحثون باعتبار أي جهاز كان مكشوفاً عبر الإنترنت ويعمل بإصدار متأثر خلال فترة الاستغلال معرضاً للاختراق إلى أن يخضع للمراجعة.
لماذا يهم هذا الخبر؟
تجمع الثغرة بين ثلاثة عوامل ترفع خطورتها: وجود استغلال فعلي قبل التصحيح، وموقع Remote Support على حافة الشبكة، وإمكانية الوصول إلى بيانات اعتماد تستخدمها فرق الدعم والأنظمة المتصلة. كما يتتبع Shadowserver أكثر من 1,400 نسخة من BeyondTrust Remote Support مكشوفة على الإنترنت، من دون أن يوضح عدد الأجهزة التي جرى تأمينها أو التي تمثل مصائد اختبارية.
لا يعني ذلك أن جميع الأجهزة المكشوفة مخترقة، لكنه يجعل التحقق من السجلات، ومراجعة الحسابات والملفات، وتثبيت التصحيح أولوية مباشرة، خصوصاً في المؤسسات التي تستخدم النسخ المستضافة ذاتياً.
سياق التهديد والأسئلة المفتوحة
لدى Armory Castle سجل في استهداف أجهزة حافة الشبكات، من بينها Citrix NetScaler وIvanti Connect Secure، للوصول إلى شبكات المؤسسات ونشر برمجيات خبيثة مخصصة. وحذرت Mandiant من احتمال توسع الاستغلال بعد الكشف عن CVE-2026-102764، كما حدث في حملات سابقة كانت تبدأ باستغلال انتقائي للثغرات ثم تتحول إلى نشاط واسع بعد ظهور معلومات عنها.
ولا يحدد المصدر عدد المؤسسات التي تعرضت للاختراق في الحملة الحالية أو ما إذا كانت بيانات اعتماد عملاء بعينهم قد سُرقت. لذلك يبقى تثبيت التصحيح خطوة ضرورية، لكنه لا يغني عن التحقيق في الأجهزة التي كانت مكشوفة خلال نافذة الاستغلال.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.