BeyondTrust, Remote Support (RS) çözümünde bulunan kritik bir güvenlik açığı konusunda müşterilerini uyardı ve açığın ağustos sonlarından beri sıfır gün saldırılarında istismar edildiğini doğruladı. CVE-2026-102764 olarak izlenen açık, 26.2.3 ve önceki sürümleri etkiliyor; uzaktan bağlantı kuran ve ayrıcalığı bulunmayan bir saldırganın kimlik doğrulamayı atlayarak yamalanmamış cihazlarda dosya işlemleri gerçekleştirmesine olanak tanıyor.
Şirket, SaaS sürümlerini kullanan Remote Support ve Privileged Remote Access müşterileri için düzeltmeyi 8 Ekim'de yayımladı. Kendi sunucularında barındırılan ortamların yöneticileri, otomatik güncellemeler etkin değilse güncellemeyi manuel olarak yüklemeli. BeyondTrust'un dahili testleri, Privileged Remote Access'te açığın istismar edilmesine yönelik bir yöntem belirlememiş olsa da ürün, etkilenen kodu Remote Support ile paylaşıyor. Bu nedenle şirket, bu ürün için de düzeltme yayımladı ve kendi sunucularında barındırılan müşterilerine düzeltmeyi derhal uygulamalarını öneriyor.
Erişim sağlama ve ardından ayrıcalık yükseltme
Mandiant ve Google Threat Intelligence Group araştırmacıları saldırıları tespit etti ve bunları Armory Castle adındaki aktöre bağladı. Bu aktör daha önce UNC5221 olarak biliniyordu; CrowdStrike ise grubu Warp Panda olarak adlandırıyor. Grubun Çin'le bağlantılı olduğundan şüpheleniliyor.
Saldırganlar, cihazlara ilk erişimi sağlamak için açığı istismar etti; ardından Set User ID (SUID) izinlerini etkinleştirerek ayrıcalıklarını root seviyesine yükseltti. Daha sonra Sawfly kötü amaçlı web kabuğunu ve ağ içinde yayılmak için Bareclaw aracını dağıttılar, tespit edilme olasılıklarını azaltmak amacıyla günlükleri sildiler ve ağ içindeki diğer sistemlerde uzaktan oturumlar açmak için ele geçirilmiş Administrator kimlik bilgilerini kullandılar.
Mandiant'a göre ana bilgisayara root ayrıcalıklarıyla erişim, saldırganlara cihazın depoladığı veya üzerinden geçirdiği kimlik bilgilerine erişme, yeniden başlatmanın ardından kalıcılığını koruyan dosyaları değiştirme ve ayarları sıfırlama olanağı verdi. Bu nedenle araştırmacılar, istismar süresi boyunca internete açık olan ve etkilenen bir sürümü çalıştıran her cihazın incelenene kadar ele geçirilmiş kabul edilmesini önerdi.
Bu haber neden önemli?
Açık, tehlikesini artıran üç faktörü bir araya getiriyor: düzeltme yayımlanmadan önce aktif olarak istismar edilmesi, Remote Support'un ağın uç noktasında yer alması ve destek ekipleriyle bağlı sistemler tarafından kullanılan kimlik bilgilerine erişim olasılığı. Shadowserver ayrıca internette açık durumda 1.400'den fazla BeyondTrust Remote Support örneğini izliyor; ancak güvenliği sağlanan cihazların veya test tuzaklarını temsil eden cihazların sayısını açıklamıyor.
Bu, açık durumdaki tüm cihazların ele geçirildiği anlamına gelmiyor; ancak özellikle kendi sunucularında barındırılan sürümleri kullanan kuruluşlarda günlüklerin doğrulanmasını, hesapların ve dosyaların incelenmesini ve düzeltmenin yüklenmesini doğrudan öncelik haline getiriyor.
Tehdit bağlamı ve açık sorular
Armory Castle'ın, kuruluşların ağlarına erişmek ve özel amaçlı kötü amaçlı yazılımlar dağıtmak için Citrix NetScaler ve Ivanti Connect Secure dahil ağ uç cihazlarını hedeflediği biliniyor. Mandiant, CVE-2026-102764 hakkında bilgi yayımlandıktan sonra istismarın genişlemesi olasılığı konusunda uyardı; geçmiş kampanyalarda da faaliyet, önce açıkların seçici biçimde istismar edilmesiyle başlayıp bunlar hakkında bilgi ortaya çıktıktan sonra geniş çaplı bir etkinliğe dönüşmüştü.
Kaynak, mevcut kampanyada kaç kuruluşun ihlal edildiğini veya belirli müşterilere ait kimlik bilgilerinin çalınıp çalınmadığını belirtmiyor. Bu nedenle düzeltmenin yüklenmesi gerekli bir adım olmaya devam ediyor; ancak istismar penceresi sırasında açık durumda olan cihazların incelenmesinin yerini tutmuyor.