BeyondTrust 警告客户，其 Remote Support（RS）解决方案存在一个严重安全漏洞，并确认该漏洞自8月底以来已在零日攻击中遭到利用。该漏洞编号为 CVE-2026-102764，影响 26.2.3 及更早版本，允许远程且无权限的攻击者绕过身份验证，并在未打补丁的设备上执行文件操作。
该公司于10月8日为使用 SaaS 版本的 Remote Support 和 Privileged Remote Access 客户发布了补丁。对于自托管环境，如果未启用自动更新，管理员必须手动安装更新。尽管 BeyondTrust 的内部测试尚未确定利用 Privileged Remote Access 中该漏洞的方法，但该产品与 Remote Support 共用受影响的代码，因此公司也为其发布了补丁，并建议自托管客户立即应用。
先获取访问权限，再提升权限
Mandiant 和 Google Threat Intelligence Group 的研究人员发现了这些攻击，并将其归因于一个名为 Armory Castle 的组织。该组织此前被称为 UNC5221，CrowdStrike 则将其称为 Warp Panda。该组织被怀疑与中国有关联。
攻击者利用该漏洞获得对设备的初始访问权限，随后通过启用 Set User ID（SUID）权限将权限提升至 root。之后，他们部署了恶意 WebShell Sawfly 和用于在网络中横向移动的 Bareclaw 工具，擦除日志以降低被发现的可能性，并利用被入侵的 Administrator 凭据在网络内其他系统上打开远程会话。
据 Mandiant 称，获得具备 root 权限的主机访问权后，攻击者能够访问设备存储或传递的凭据，修改可在重启后保持的文件并重置设置。因此，研究人员建议，任何在利用期间通过互联网暴露且运行受影响版本的设备，都应被视为可能遭到入侵，直至完成审查。
为什么这条新闻重要？
该漏洞同时具备三个加剧其风险的因素：在补丁发布前已存在实际利用、Remote Support 位于网络边界，以及能够访问支持团队和互联系统使用的凭据。此外，Shadowserver 追踪到超过1,400个暴露在互联网上的 BeyondTrust Remote Support 实例，但没有说明其中有多少设备已得到保护，或有多少属于测试蜜罐。
这并不意味着所有暴露的设备都已遭到入侵，但这使得检查日志、审查账户和文件以及安装补丁成为当务之急，尤其是在使用自托管版本的机构中。
威胁背景与未决问题
Armory Castle 曾有针对网络边界设备的攻击记录，其中包括 Citrix NetScaler 和 Ivanti Connect Secure，目的是访问机构网络并部署定制恶意软件。Mandiant 警告称，在 CVE-2026-102764 被披露后，利用活动可能会扩大；以往的行动中也曾出现类似情况：攻击最初选择性地利用漏洞，随后在相关信息出现后转变为大规模活动。
消息来源没有说明当前行动中有多少机构遭到入侵，也没有说明是否有特定客户的凭据被窃取。因此，安装补丁仍是必要步骤，但不能替代对在利用窗口期间暴露的设备进行调查。