BeyondTrust Remote Support: חולשת יום אפס שמנוצלת מאז אוגוסט מאפשרת להשתלט על המכשיר ללא חשבון

BeyondTrust תיקנה את CVE-2026-102764, חולשה קריטית ב-Remote Support המאפשרת לתוקף ללא חשבון לבצע פעולות על קבצים במכשיר. לפי Google ו-Mandiant, קבוצת ריגול שנחשדת בקשר לסין מנצלת אותה מאז סוף אוגוסט כדי לגנוב את פרטי ההתחברות השמורים; CISA נתנה לסוכנויות בארה״ב עד 19 באוקטובר.

מה קרה

BeyondTrust תיקנה את CVE-2026-102764, חולשה ברכיבי העברת ההודעות הפנימיים של Remote Support, כלי התמיכה מרחוק שנמכר בעבר בשם Bomgar. רכיבים אלה לא בדקו כראוי את מקור ההודעות שהתקבלו, וכך תוקף ללא חשבון יכול לבצע פעולות על קבצים במכשיר. ‏NIST מעניק לה ציון 9.8 ‏(CVSS 3.1), ו-BeyondTrust ציון 9.3 לפי CVSS 4.0. לפי Google Threat Intelligence Group ו-Mandiant, קבוצת ריגול שנחשדת בקשר לסין, שהם מכנים ARMORY CASTLE (בעבר UNC5221), מנצלת אותה כחולשת יום אפס מאז סוף אוגוסט 2026. ‏CISA הוסיפה אותה ב-16 באוקטובר לקטלוג החולשות המנוצלות, עם מועד אחרון ב-19 באוקטובר לסוכנויות הפדרליות.

כיצד פעלו התוקפים

‏Mandiant מתארת web shell שהותקן על המכשיר, מנהרת SOCKS מעל WebSocket שנחשפה באמצעות שינוי בתצורת HAProxy, ‏shell בהרשאות root וסקריפט אתחול ששורד הפעלות מחדש ואיפוס תצורה. לאחר מכן חילצו התוקפים את כל הסודות השמורים בכספת של Remote Support (סיסמאות, מפתחות API), הרחיבו את ההרשאות של מנהל שנפרץ, השתמשו בסשנים של תמיכה כדי להגיע למחשבים פנימיים ומחקו יומנים.

מה לעשות עכשיו

1. מכשירים באירוח עצמי: כל הגרסאות עד 26.2.3 פגיעות. מגרסה 24.3.1 ואילך התקינו את התיקון BT26-05-RS מממשק /appliance; גרסאות ישנות יותר צריכות לעבור קודם לגרסה נתמכת.
2. לקוחות SaaS: ‏BeyondTrust תיקנה את מופעי הענן ב-9 באוקטובר, אך תקופת החשיפה מצדיקה בכל זאת את הבדיקות שלהלן.
3. הגבילו את הגישה ל-/login ול-/appliance לכתובות מוכרות, או הציבו אותם מאחורי VPN.
4. חפשו עקבות: שינויי תפקיד ב-Jump Items או בצוותים, חשבונות API או ספקי אבטחה חדשים, העברות קבצים חריגות, נתיבי .php לא מוכרים, פערים ב-syslog המועבר; השוו למזהים שפרסמה Google.
5. החליפו סודות לאחר התיקון: חשבונות המכשיר והמנהלים, סודות API, מפתחות SAML, ולבסוף כל פרטי ההתחברות השמורים בכספת.

הדעה שלנו

מכשיר תמיכה מרחוק מחזיק את המפתחות לכל המחשבים שהוא מגיע אליהם: השתלטות עליו שווה יותר מכל שרת בודד. יש לעדכן אותו בתוך שעות, להרחיק אותו ככל האפשר מהאינטרנט הפתוח ולשלוח את היומנים שלו למערכת אחרת, כדי שפורץ לא יוכל למחוק אותם.

מקורות

• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-102764
• NIST NVD — CVE-2026-102764
• Google Threat Intelligence Group — ARMORY CASTLE exploits BeyondTrust CVE-2026-102764
• The Record — China-linked hackers exploited BeyondTrust zero-day

איך אנחנו בוחרים, מאמתים וכותבים את הניתוחים שלנו ←