Уязвимость BeyondTrust Remote Support с оценкой 9,3 по CVSS использовалась в атаках как zero-day как минимум с 29 августа 2026 года. Для компаний это неприятный, но важный сигнал: инструмент, через который ИТ-служба удалённо управляет рабочими станциями и серверами, может стать для атакующего тем же самым каналом управления — только уже без участия администраторов.
Проблема получила идентификатор CVE-2026-102764. Она связана с внутренним компонентом обмена сообщениями, который недостаточно проверял источник входящих сообщений, сообщает Dark Reading. По данным Mandiant и Google Threat Intelligence Group, эксплуатацию связали с группировкой Armory Castle, которую ранее отслеживали как UNC5221 и UTA0178; исследователи относят её к китайскому направлению кибершпионажа.
От удалённой поддержки — к контролю над сетью
BeyondTrust Remote Support применяют для подключения к удалённым компьютерам и серверам. Поэтому критическая ошибка в таком продукте опасна не только сама по себе: после успешной атаки злоумышленник получает точку входа в среду, уже предназначенную для администрирования. В ходе кампании Armory Castle использовала собственный PHP-веб-шелл SAWFLY всего через 11 минут после применения эксплойта. Скорость здесь важна: окно между первичным доступом и закреплением в системе оказалось почти символическим.
Дальше атакующие действовали не как случайные сканеры, а как люди, хорошо знакомые с устройством продукта. Они искали в встроенной базе секретов пароли, API-ключи и учётные данные конечных систем, выгружали административные реквизиты, создавали механизм закрепления через скрипт и удаляли системные, веб-серверные и прикладные журналы. Затем группа повысила привилегии от обычной сервисной учётной записи до администратора, запускала удалённые сессии к системам внутри сети, проводила разведку и выводила документы с рабочих столов жертв. Для туннелирования SOCKS5 применялся ещё один новый инструмент группы — BARECLAW.
BeyondTrust выпустила исправление для CVE-2026-102764 9 октября и призвала пользователей локально развёрнутого Remote Support установить его как можно быстрее. Компания заявляет о более чем 20 тысячах клиентов, включая 75 компаний из Fortune 100, однако точное число организаций, использующих именно Remote Support, не раскрывается. Косвенную оценку масштаба поверхности атаки дали более ранние исследования: в начале года в интернете насчитывалось около 11 тысяч доступных экземпляров Remote Support — в облачных и локальных установках. Тогда речь шла о другой предаутентификационной уязвимости с CVSS 9,9 в Remote Support и Privileged Remote Access.
Неделя, в которую периметр снова оказался слабым местом
Инцидент с BeyondTrust не выглядит изолированным. За несколько дней до него исследователи Volexity сообщили об эксплуатации цепочки zero-day в полностью обновлённых VPN-шлюзах Ivanti Connect Secure. Цепочка объединяла обход аутентификации, удалённое выполнение кода и повышение привилегий; два первых дефекта отслеживаются под CVE-2026-104935 и получили 8,6 балла CVSS. Для команд, которые привыкли считать «обновлённый VPN» закрытым вопросом, это особенно неприятная оговорка: патч-менеджмент остаётся обязательным, но не отменяет мониторинг аномалий и сегментацию.
14 октября список пополнила CVE-2026-76519 в функции Advanced Malware Protection продукта Cisco Secure Email Gateway. Ошибка с оценкой 9,8 позволяла удалённому атакующему записывать произвольные файлы в операционную систему устройства и в тот же день попала в каталог CISA Known Exploited Vulnerabilities. Туда же добавили CVE-2026-0322 — уязвимость удалённого выполнения кода в PAN-OS, ОС для межсетевых экранов Palo Alto Networks, с оценкой 8,6. На фоне этих сообщений GreyNoise отдельно описала активность оператора skynox7, который строит сеть резидентских прокси из не обновлённых домашних NAS и видеорегистраторов, доступных из интернета.
Общий знаменатель у этих историй — устройства и сервисы на границе сети. Они принимают внешние соединения, часто обладают высокими привилегиями и нередко содержат ключи, пароли или постоянные сессии к внутренним системам. Это делает их привлекательнее обычной пользовательской станции: успешный взлом одного такого узла может сразу открыть путь к инфраструктуре. Для разработчиков и DevOps-команд вывод практический: секреты не стоит хранить во встроенном хранилище управляющего устройства, а сервисные учётные записи и сетевые разрешения нужно ограничивать так, словно внешний периметр уже однажды был пробит.
Пользователям BeyondTrust исследователи советуют не ограничиваться установкой обновления. Если есть признаки компрометации, разумный сценарий включает изоляцию устройства, прекращение лишних путей доступа, ограничение исходящего трафика соединениями с вендором и повторное развёртывание из чистого образа. В качестве компенсирующих мер названы WAF перед edge-устройством, ротация учётных данных, отзыв активных сессий, ревизия конфигурации и минимизация прав в плоскости управления. Это не тот набор мер, который приятно выполнять в пятницу вечером, зато он заметно дешевле расследования утечки после того, как журналы уже удалены.
Волна вокруг Ivanti, Cisco, Palo Alto Networks и BeyondTrust показывает, что «краевые» продукты пора оценивать не как обычную сетевую технику, а как высокоценные административные системы. Следующий зрелый вопрос для ИТ-директора звучит уже не «поставлен ли последний патч», а «какие секреты и маршруты останутся у злоумышленника, если он всё же получит контроль над этим устройством».