BeyondTrust hat seine Kunden vor einer kritischen Sicherheitslücke in der Lösung Remote Support (RS) gewarnt, nachdem das Unternehmen bestätigt hatte, dass sie seit Ende August in Zero-Day-Angriffen ausgenutzt wird. Die Schwachstelle trägt die Kennung CVE-2026-102764, betrifft Version 26.2.3 und frühere Versionen und ermöglicht einem entfernten Angreifer ohne Berechtigungen, die Authentifizierung zu umgehen und Dateioperationen auf ungepatchten Geräten auszuführen.
Das Unternehmen veröffentlichte den Patch am 8. Oktober für Kunden von Remote Support und Privileged Remote Access, die SaaS-Versionen verwenden. In selbst gehosteten Umgebungen müssen Administratoren das Update manuell installieren, wenn automatische Updates nicht aktiviert sind. Obwohl interne Tests von BeyondTrust keine Möglichkeit zur Ausnutzung der Schwachstelle in Privileged Remote Access ermittelten, teilt das Produkt den betroffenen Code mit Remote Support. Daher veröffentlichte das Unternehmen auch dafür einen Patch und empfiehlt seinen selbst gehosteten Kunden, ihn umgehend anzuwenden.
Ausnutzung für den Zugriff und anschließende Privilegieneskalation
Forscher von Mandiant und der Google Threat Intelligence Group beobachteten die Angriffe und ordneten sie einer Gruppe namens Armory Castle zu, die zuvor als UNC5221 bekannt war und von CrowdStrike als Warp Panda bezeichnet wird. Es wird vermutet, dass die Gruppe mit China verbunden ist.
Die Angreifer nutzten die Schwachstelle für den erstmaligen Zugriff auf die Geräte und erweiterten anschließend ihre Privilegien auf Root-Ebene, indem sie Set-User-ID-Berechtigungen (SUID) aktivierten. Danach verbreiteten sie die bösartige Web-Shell Sawfly und das Tool Bareclaw zur lateralen Bewegung im Netzwerk, löschten Protokolle, um die Wahrscheinlichkeit ihrer Entdeckung zu verringern, und verwendeten kompromittierte Administrator-Anmeldedaten, um auf anderen Systemen innerhalb des Netzwerks Remote-Sitzungen zu öffnen.
Laut Mandiant verschaffte der Zugriff auf den Host mit Root-Berechtigungen den Angreifern die Möglichkeit, auf vom Gerät gespeicherte oder weitergeleitete Anmeldedaten zuzugreifen, Dateien zu verändern, die Neustarts überdauern, und Einstellungen zurückzusetzen. Daher empfahlen die Forscher, jedes Gerät, das während des Ausnutzungszeitraums über das Internet erreichbar war und eine betroffene Version ausführte, als kompromittierungsgefährdet zu betrachten, bis es überprüft wurde.
Warum ist diese Nachricht wichtig?
Die Schwachstelle vereint drei Faktoren, die ihre Gefahr erhöhen: eine aktive Ausnutzung vor der Veröffentlichung des Patches, die Position von Remote Support am Netzwerkperimeter und die Möglichkeit, auf Anmeldedaten zuzugreifen, die von Supportteams und verbundenen Systemen verwendet werden. Außerdem verfolgt Shadowserver mehr als 1.400 über das Internet erreichbare Instanzen von BeyondTrust Remote Support, ohne anzugeben, wie viele Geräte abgesichert wurden oder als Test-Honeypots dienen.
Das bedeutet nicht, dass alle exponierten Geräte kompromittiert sind. Es macht jedoch die Überprüfung von Protokollen, die Kontrolle von Konten und Dateien sowie die Installation des Patches zu einer unmittelbaren Priorität, insbesondere in Organisationen, die selbst gehostete Versionen verwenden.
Bedrohungskontext und offene Fragen
Armory Castle verfügt über eine Vorgeschichte bei der Ausrichtung auf Netzwerk-Edge-Geräte, darunter Citrix NetScaler und Ivanti Connect Secure, um Zugriff auf Unternehmensnetzwerke zu erlangen und maßgeschneiderte Schadsoftware zu verbreiten. Mandiant warnte vor einer möglichen Ausweitung der Ausnutzung nach der Veröffentlichung von Informationen über CVE-2026-102764, wie es bereits bei früheren Kampagnen geschehen war, die mit einer selektiven Ausnutzung von Schwachstellen begannen und sich nach Bekanntwerden entsprechender Informationen zu groß angelegten Aktivitäten entwickelten.
Die Quelle nennt weder die Zahl der Organisationen, die bei der aktuellen Kampagne kompromittiert wurden, noch, ob die Anmeldedaten bestimmter Kunden gestohlen wurden. Daher bleibt die Installation des Patches ein notwendiger Schritt, ersetzt jedoch nicht die Untersuchung von Geräten, die während des Ausnutzungsfensters exponiert waren.