Уязвимость BeyondTrust Remote Support CVE-2026-102764 уже использовали в атаках как минимум с конца августа. Ошибка позволяет удалённому неавторизованному атакующему выполнять файловые операции на уязвимом appliance — неприятный сценарий для компаний, которые выставили систему удалённой поддержки в интернет. BeyondTrust выпустила исправление, но владельцам self-hosted-инсталляций нужно проверить обновление самостоятельно: патч не появляется магическим образом, если автоматические апдейты отключены.
Проблема затрагивает Remote Support версии 26.2.3 и старше, сообщает BleepingComputer. Для SaaS-клиентов Remote Support и Privileged Remote Access исправление установили 8 октября. Локальные развёртывания должны получить обновление вручную либо через настроенный механизм автоматической доставки. Компания классифицирует баг как критический и предупреждает, что он обходится без предварительной аутентификации.
Remote Support — корпоративный инструмент, которым сервис-дески и техническая поддержка подключаются к рабочим станциям и помогают пользователям удалённо. Поэтому уязвимость BeyondTrust Remote Support — это не история про один веб-сервис на периферии. В зависимости от конфигурации такой appliance может быть связан с учётными данными администраторов, внутренними системами и десятками или тысячами пользовательских устройств.
По данным Mandiant и Google Threat Intelligence Group, первоначальные атаки связаны с группой Armory Castle, ранее известной как UNC5221. CrowdStrike отслеживает того же предполагаемого китайского оператора под именем Warp Panda. Исследователи описали цепочку: после проникновения злоумышленники поднимали привилегии до root, в том числе включали SUID-разрешения, затем размещали веб-шелл Sawfly и туннелер Bareclaw. Чтобы осложнить расследование, они очищали журналы, а для дальнейшего перемещения по сети открывали удалённые сессии на соседних системах, используя скомпрометированные Administrator credentials.
Root-доступ к хосту appliance особенно опасен. Он даёт атакующему возможность работать с учётными данными, которые система хранит или передаёт, и менять файлы, переживающие перезагрузку и сброс конфигурации. Иными словами, простая установка патча не доказывает, что инцидента не было: она лишь закрывает дверь, через которую уже могли пройти.
Практический вывод для ИБ-команд и инфраструктурных администраторов предельно приземлённый: инстансы, доступные из интернета на уязвимой версии в период атак, следует рассматривать как потенциально скомпрометированные до проведения проверки. Нужно не только обновить продукт, но и изучить логи до момента их возможной очистки, проверить изменения прав и SUID-битов, поискать Sawfly и Bareclaw, перепроверить администраторские учётные данные и активность удалённых сессий. Если журналы внезапно обрываются, это не повод облегчённо вздохнуть.
Край сети снова становится точкой входа
Armory Castle уже связывали с эксплуатацией zero-day в Citrix NetScaler и Ivanti Connect Secure. В предыдущих кампаниях группа сначала выборочно использовала неизвестную уязвимость, а после её раскрытия переходила к более широкому и оппортунистическому сканированию. Mandiant допускает похожее развитие событий и для CVE-2026-102764: окно между публикацией патча и его установкой во всех организациях обычно слишком велико, чтобы им не воспользовались.
По данным Shadowserver, в интернете доступно более 1 400 экземпляров BeyondTrust Remote Support. Этот счётчик не показывает, какие из них обновлены и какие являются ловушками, однако масштаб поверхности атаки понятен. Для ИТ-директора это повод поднять не только конкретный тикет на обновление, но и вопрос инвентаризации: известны ли команде все внешние системы удалённого доступа, их версии, владельцы и режим обновлений?
BeyondTrust выпустила патч и для Privileged Remote Access. Компания не нашла в своих тестах способа эксплуатировать эту ошибку в PRA, но оба продукта используют затронутый код, поэтому self-hosted-клиентам PRA тоже рекомендовано обновиться без промедления. Такой подход выглядит разумным: различие между «не удалось воспроизвести атаку» и «атака невозможна» в инцидент-менеджменте слишком дорого обходится.
Не первый тревожный сигнал для BeyondTrust
CVE-2026-102764 продолжает серию атак на продукты компании. Ранее злоумышленники использовали критическую ошибку удалённого выполнения кода CVE-2026-1731 в Remote Support и Privileged Remote Access, чтобы создавать WebSocket-каналы и разворачивать ransomware. Ещё раньше предполагаемая китайская группа Silk Typhoon использовала две zero-day-уязвимости — CVE-2024-12356 и CVE-2024-12686 — для взлома инфраструктуры BeyondTrust и последующего доступа к 17 SaaS-инстансам Remote Support через похищенный API-ключ, включая экземпляр Министерства финансов США.
Для рынка здесь нет экзотики, только неприятная закономерность. Средства привилегированного доступа, удалённой поддержки и сетевые шлюзы удобны администраторам ровно потому, что обладают широкими правами и находятся на стыке внешней и внутренней сети. Для атакующих это такой же удобный маршрут. При базе из более чем 20 тысяч клиентов, среди которых есть государственные структуры и 75% компаний из Fortune 100, задержка с обновлением превращается из операционной мелочи в риск для всей цепочки доступа.
Уязвимость BeyondTrust Remote Support стоит закрыть как срочную задачу, но более важный вопрос шире одного CVE: способна ли компания быстро доказать, что её системы удалённого доступа не только обновлены, но и не были использованы до выхода патча. В кампаниях против edge-устройств атакующие всё чаще рассчитывают именно на разрыв между обнаружением проблемы, публикацией исправления и реальной проверкой инфраструктуры.