Folgen BeyondTrust hat CVE-2026-102764 offengelegt, eine kritische Schwachstelle in Remote Support (RS), die von einem mutmaßlichen China-nahen Cyber-Spionage-Akteur als Zero-Day ausgenutzt wurde. Der Fehler trägt einen CVSS 4.0-Score von 9.3 und kann es einem nicht authentifizierten entfernten Angreifer ermöglichen, beliebige Dateioperationen auf einem verwundbaren Gerät durchzuführen.
Google Threat Intelligence Group und Mandiant schreiben die beobachtete Ausnutzung ARMORY CASTLE zu, früher bekannt als UNC5221 und auch mit dem Namen WARP PANDA verbunden. Die Gruppe hat eine Geschichte des Angriffs auf internetbezogene Sicherheitsgeräte und der Ausnutzung zuvor unbekannter Schwachstellen, um dauerhaften Zugang zu wertvollen Umgebungen zu erhalten.
Die Angriffe begannen bereits am 29. August 2026, als der Bedrohungsakteur erfolgreich eine von BeyondTrust gehostete Remote-Support-Instanz und ein selbst gehostetes Gerät ausnutzte. BeyondTrust reproduzierte später die Schwachstelle, entwickelte einen Fix und begann mit der Verteilung des BT26-05-Patches, bevor die CVE am 15. Oktober 2026 öffentlich bekannt gegeben wurde.
Erfolgreiche Ausnutzung kann Angreifern einen Zugang zu einem Gerät verschaffen, das privilegierte Fernzugriff vermittelt, und möglicherweise Zugriff auf administrative Anmeldeinformationen, API-Geheimnisse, Support-Sitzungen und interne Endpunkte enthalten oder bereitstellen. Mandiant beobachtete, dass Angreifer Privilegien auf Root eskalierten, benutzerdefinierte Malware bereitstellten, Anmeldedaten sammelten, Zugriffssteuerungen veränderten und in nachgelagerte Systeme eindrangen.
Organisationen können SOC Primes AI-Native Detection Intelligence Platform nutzen, um die Bedrohungssuche und Detektionstechnik für aufkommende Schwachstellen und aktive Ausnutzungskampagnen in SIEM-, EDR-, XDR- und Data-Lake-Umgebungen zu beschleunigen.
Prime Architect kann Sicherheitsteams auch dabei helfen, technische Bedrohungsinformationen in Erkennungslogik, Suchabfragen und umgebungsspezifische Regeln umzuwandeln, während es eine schnellere Analyse neu offengelegter Angriffstechniken unterstützt.
CVE-2026-102764 Analyse
CVE-2026-102764 betrifft BeyondTrust Remote Support-Versionen bis einschließlich 26.2.3. BeyondTrust klassifiziert das Problem als unsachgemäße Ursprungsvalidierung in einer internen Nachrichtenkomponente unter CWE-290. Die betroffenen Komponenten validierten den Ursprung der empfangenen Nachrichten nicht ausreichend, was einem entfernten Angreifer unter den richtigen Bedingungen ermöglichte, Dateioperationen auf dem Gerät durchzuführen.
Der Fehler erhielt einen CVSS 4.0-Score von 9.3 mit einem netzwerkzugänglichen Angriffsvektor, geringer Angriffs-Komplexität, keinen erforderlichen Privilegien und keiner Benutzerinteraktion. Erfolgreiche Ausnutzung kann erhebliche Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit haben.
BeyondTrust hält derzeit die technischen Details auf niedriger Ebene der Schwachstelle zurück, während selbst gehostete Organisationen die Behebung abschließen. Mandiants Vorfallreaktionsuntersuchung bietet jedoch wesentliche Einblicke in die Vorgehensweise der Angreifer nach Ausnutzung der Schwäche.
ARMORY CASTLE nutzte die Schwachstelle aus, um bösartige Dateien auf BeyondTrust Remote Support-Geräten zu platzieren. Mandiant beobachtete POST-Anfragen, die auf eine ungewöhnliche PHP-Ressource abzielten, bevor ein benutzerdefiniertes Webshell namens SAWFLY in den webzugänglichen Verzeichnissen des Geräts erstellt wurde.
SAWFLY, gespeichert als mangoapi.php, ist ein leichtgewichtiges PHP-Webshell, das entwickelt wurde, um seine Präsenz zu verbergen und gleichzeitig interaktive Befehlsausführung bereitzustellen. Es verwendet eine benutzerdefinierte Base32-Kommunikationsschicht kombiniert mit RC4-Verschlüsselung und antwortet nur, wenn eingehende Anfragen einen bestimmten Parameter enthalten. Anfragen, die diese Überprüfung nicht bestehen, erhalten eine HTTP 404-Antwort, was dem Webshell hilft, automatisierten Scannern und grundlegenden Sicherheitsüberprüfungen zu entgehen.
Das Webshell wurde anfänglich unter einem nicht privilegierten Site-Service-Konto ausgeführt. Um Root-Zugriff zu erlangen, kopierten die Angreifer /bin/sh nach /usr/bin/dbus-authd, änderten den Dateibesitzer zu Root und aktivierten das SUID-Berechtigungsbit. Ausführen dieses modifizierten Binaries ermöglichte dann eine persistente Root-Level-Befehlsausführung.
Root-Zugriff gab ARMORY CASTLE erhebliche Kontrolle über das BeyondTrust-Gerät und seine Daten mit privilegiertem Zugriff. Mandiant beobachtete, dass der Akteur das legitime /ns/sbin/bt-secrets-Verwaltungsdienstprogramm missbrauchte, um zu versuchen, Passwörter, API-Schlüssel und andere Anmeldeinformationen aus dem nativen Geheimnisdaten-tresor des Geräts abzurufen.
Die Angreifer unternahmen auch Schritte, um den Zugriff über Neustarts und Konfigurationsrücksetzungen hinweg aufrechtzuerhalten. Sie erstellten ein Startskript namens zz-root-persist unter /home/bomgar/sbin/post_boot.d und modifizierten die Sudoers-Vorlage des Geräts, sodass das kompromittierte Dienstkonto Passwort-losen Root-Zugriff erhielt.
Ein weiteres benutzerdefiniertes Tool, BARECLAW, wurde eingesetzt, um verdeckte Tunnelung durch das kompromittierte Gerät herzustellen. BARECLAW ist ein C-basierter SOCKS5-Proxy, der über WebSockets arbeitet und Authentifizierung, Verkehrsverschleierung, Zielbeschränkungen, Upstream-Proxying und TLS unterstützen kann.
Die Angreifer modifizierten die HAProxy-Konfiguration des Geräts, sodass externe Anfragen an einen speziell gewählten WebSocket-Pfad transparent an BARECLAW weitergeleitet wurden, der auf localhost lauschte. Dies erlaubte es dem Tunnel, sich vor grundlegenden externen Port-Scans zu verbergen und dennoch über die legitime HTTPS-Infrastruktur des Geräts erreichbar zu sein.
Nach der Kompromittierung erstreckte sich die Aktivität über das Gerät hinaus. ARMORY CASTLE nutzte gestohlene oder veränderte BeyondTrust Administrationsberechtigungen, um Remote-Support-Sitzungen an internen Endpunkten zu initiieren, Zugriff auf Dateisysteme zu erhalten und interne Dokumente nützlich für die Aufklärung herunterzuladen.
Der Bedrohungsakteur betrieb auch umfangreiche Antiforensik. Mandiant beobachtete das Löschen von Authentifizierungsprotokollen, Webserveraufzeichnungen, Anwendungsprotokollen, PHP-Protokollen und Aufzeichnungen in Verbindung mit dem Zugriff auf den Anmeldedaten-Tresor. Diese Verhaltensweisen unterstreichen die Bedeutung des Weiterleitens von Geräte-Telemetrie an ein von Angreifern nicht löschbares externes SIEM oder Protokoll-Repository nach einer Kompromittierung auf Host-Ebene.
BeyondTrust schreibt die Aktivitäten mit mittlerem bis hohem Vertrauen ARMORY CASTLE zu, was mit Mandiants Bewertung übereinstimmt. Die Gruppe hat zuvor Schwachstellen in Perimeter- und Fernzugriffsprodukten ausgenutzt, darunter Citrix NetScaler und Ivanti Connect Secure, als Teil langfristiger Spionageoperationen.
Die aktuelle Offenlegung enthält kein öffentliches CVE-2026-102764 PoC. BeyondTrust hat ausdrücklich Exploit-Details zurückgehalten, um das Risiko von Nachahmerangriffen zu verringern, während selbst gehostete anfällige Geräte ungepatcht bleiben.
Für die Erkennung von CVE-2026-102764 sollten Verteidiger ungewöhnliche PHP-Dateien, unerwartete Dateierstellungen in webzugänglichen Verzeichnissen, unerklärliche SUID-Binaries, Modifikationen an HAProxy oder Sudoers-Vorlagen, verdächtige Administratorrollenänderungen und Unterbrechungen in der Weiterleitung von Geräteprotokollen untersuchen.
CVE-2026-102764 Minderung
BeyondTrust gab den BT26-05-Patch an betroffene Kunden vor der koordinierten Offenlegung heraus. Bis zum 9. Oktober 2026 hatte das Unternehmen den Fix auf alle Remote-Support-SaaS-Kundeninstanzen angewendet. SaaS-Kunden müssen das Gerät selbst nicht manuell patchen.
Selbst gehostete Remote-Support-Kunden, die Version 24.3.1 bis 26.2.3 verwenden, sollten den BT26-05-RS-Patch sofort über die Geräteverwaltungsoberfläche installieren. Organisationen, die eine ältere Version als 24.3.1 verwenden, müssen zuerst auf eine unterstützte Version aktualisieren, bevor sie den Sicherheits-Patch anwenden.
Obwohl BeyondTrust bestätigt hat, dass Remote Support anfällig ist, teilt Privileged Remote Access Teile des betroffenen Codes. Der Anbieter hat keine erfolgreiche Methode zur Ausnutzung des Problems gegen PRA identifiziert, aber einen entsprechenden Patch als Vorsichtsmaßnahme veröffentlicht und empfiehlt selbst gehosteten PRA-Kunden, diesen anzuwenden.
Organisationen sollten jedes internetzugängliche Remote-Support-Gerät, das während des Ausnutzungsfensters anfällig blieb, als potenziell kompromittiert betrachten, bis es gründlich untersucht wurde. Die Installation des Patches verhindert zukünftige Ausnutzung, entfernt jedoch keine Malware oder bereits vor der Behebung etablierte Persistenz.
Mandiant empfiehlt, forensische Beweise zu bewahren, bevor ein verdächtiges Gerät neu gestartet oder neu aufgebaut wird. Für virtuelle Geräte umfasst dies die Erfassung von Speicher, falls möglich, das Erstellen eines Snapshots und den Export der Festplatte. Organisationen sollten auch externe Firewall-, WAF-, Reverse-Proxy- und SIEM-Aufzeichnungen für das gesamte Expositionsfenster bewahren.
Bestätigte oder potenziell kompromittierte Geräte sollten an der Außengrenze isoliert werden. Organisationen können auch ausgehenden Datenverkehr einschränken, während der Zugang nur zur wesentlichen BeyondTrust-Update- und Lizenzierungs-Infrastruktur aufrechterhalten wird.
Wenn eine Kompromittierung auf Host-Ebene bestätigt wird oder nicht ausgeschlossen werden kann, empfiehlt Mandiant, das Gerät aus einem sauberen, vollständig gepatchten Image neu zu erstellen, anstatt zu versuchen, einzelne bösartige Komponenten zu entfernen. In der Kampagne beobachtete Persistenz auf Host-Ebene kann Neustarts und Konfigurationsrücksetzungen überstehen.
Eine Rotationsberechtigung für Anmeldeinformationen sollte erst erfolgen, nachdem das kompromittierte Gerät gepatcht, isoliert oder neu aufgebaut wurde. Andernfalls können neue Anmeldeinformationen für einen Angreifer, der die Kontrolle über das System behält, sofort zugänglich werden.
Vorrangig zu rotierende Anmeldeinformationen umfassen Geräteadministratoren, Remote-Support-Administratoren, API-Client-Geheimnisse, SAML-Schlüssel, Bindekonten für Verzeichnisdienste, Anmeldeinformationen des Remote Support Vault, Integrationsgeheimnisse und Anmeldeinformationen, die während potenziell kompromittierter Support-Sitzungen eingegeben wurden.
Um CVE-2026-102764-Ausnutzung zu erkennen, sollten Sicherheitsteams Webanfragen und Dateierstellungsereignisse mit Kontenänderungen, Support-Sitzungsaktivität, unerwarteten Dateiübertragungen, verdächtigen WebSocket-Verbindungen und Lücken in extern weitergeleiteter Protokollierung korrelieren.
Veröffentlichte IOCS für CVE-2026-102764 enthalten den SAWFLY-Webshell-Dateinamen mangoapi.php mit SHA-256 dc14e215269a93fdbc4c1a80b984c23faf7af0911c6dbb85309796a6f2ae95fb, die BARECLAW-Binärdatei ingredi_ws mit SHA-256 1f19b9a27d79c11bda00a1e8faf74a7fdd683d38ccef1b60df2fd0307e3aa462 und den Staging-Pfad app_84304470.php.
Weitere Verhaltensindikatoren sind die Erstellung von /usr/bin/dbus-authd mit SUID-Berechtigungen, das zz-root-persist-Boot-Skript, verdächtige Änderungen an /ns/config/sudoers.template, unerwartete Modifikationen an /ns/config/haproxy.conf und der WebSocket-Pfad /uidchanarge.
Sicherheitsteams sollten auch BeyondTrust-Audit-Ereignisse auf unerwartete Erhöhungen bei Jump-Item- oder Team-Berechtigungen, neu erstellte API-Konten oder -Benutzer, verdächtige Administratoranmeldungen, unerklärte Dateiübertragungssitzungen und Änderungen an ausgehendenden Protokollier-Zielen überprüfen.
Da ARMORY CASTLE systematisch lokale Protokolle während des beobachteten Eindringens gelöscht hat, sollten sich Organisationen nicht ausschließlich auf Geräte-residente Beweise verlassen. Zentralisierte Protokollweiterleitung, Perimeter-Netzwerk-Telemetrie, Reverse-Proxy-Protokolle und nachgelagerte Endpunkt-Telemetrie sind entscheidend, um potenzielle Kompromittierungen zu rekonstruieren.
BeyondTrust empfiehlt auch den Zugriff auf /login- und /appliance-Schnittstellen einzuschränken, phishing-resistente MFA für Administratoren durchzusetzen, lokale privilegierte Konten zu minimieren, API-Berechtigungen zu begrenzen und bei Bedarf ein standardmäßiges Ablehnen von ausgehendem Filtern anzuwenden.
SOC Primes AI-Native Detection Intelligence Platform kann Sicherheitsteams helfen, die neuesten Bedrohungsinformationen über ARMORY CASTLE-Aktivitäten zu operationalisieren und das verhaltensbasierte Jagen in Identitäts-, Netzwerk-, Endpunkt- und Geräte-Telemetrie zu beschleunigen.
FAQ
Was ist CVE-2026-102764 und wie funktioniert es?
CVE-2026-102764 ist eine kritische Schwachstelle in BeyondTrust Remote Support, verursacht durch unzureichende Validierung von Nachrichtenursprüngen in einer internen Nachrichtenkomponente. Ein nicht authentifizierter entfernter Angreifer kann die Schwachstelle ausnutzen, um Dateioperationen auf einem anfälligen Gerät durchzuführen. In beobachteten Angriffen nutzte ARMORY CASTLE den Fehler, um einen ersten Zugang zu schaffen, bevor er Webshells einsetzte, Privilegien eskalierte und Kontrolle auf Root-Ebene erlangte.
Wann wurde CVE-2026-102764 erstmals entdeckt?
BeyondTrust beobachtete, dass ARMORY CASTLE die Zero-Day-Schwachstelle am 29. August 2026 erfolgreich ausnutzte. Das proaktive Bedrohungs-Suchen des Unternehmens identifizierte die Aktivität am 28. September, reproduzierte die Schwachstelle am selben Tag und begann mit der Entwicklung eines Fixes. Der Patch wurde am 8. Oktober an Kunden veröffentlicht, SaaS-Bereitstellungen wurden bis zum 9. Oktober vollständig gepatcht, und die koordinierte öffentliche Offenlegung erfolgte am 15. Oktober 2026.
Welche Auswirkungen hat CVE-2026-102764 auf Systeme?
Erfolgreiche Ausnutzung kann willkürliche Dateioperationen auf einem BeyondTrust Remote Support-Gerät ermöglichen und einen Weg zu tieferer Kompromittierung schaffen. In dokumentierten Angriffen setzte ARMORY CASTLE den SAWFLY-Webshell ein, eskalierte Privilegien auf Root, versuchte Anmeldeinformationen zu extrahieren, schuf persistente administrative Zugänge, setzte den BARECLAW-Tunnel ein, veränderte Konfigurationen des Geräts und bewegte sich zu internen Systemen.
Kann CVE-2026-102764 mich noch 2026 betreffen?
Ja. Selbst gehostete BeyondTrust Remote Support-Geräte, die Version 26.2.3 oder älter verwenden, bleiben gefährdet, sofern der BT26-05-Patch nicht angewendet wurde. Geräte, die älter als 24.3.1 sind, müssen zuerst aktualisiert werden. SaaS-Remote-Support-Instanzen wurden von BeyondTrust bis zum 9. Oktober 2026 gepatcht.
Wie kann ich mich vor CVE-2026-102764 schützen?
Installieren Sie sofort den BT26-05-Patch, untersuchen Sie Geräte, die während der Verwundbarkeit internetzugänglich waren, bewahren Sie externe und forensische Telemetrie auf, und rekonstruieren Sie Systeme, bei denen eine Kompromittierung bestätigt ist oder nicht ausgeschlossen werden kann. Drehen Sie privilegierte Anmeldeinformationen erst nach Eindämmung, beschränken Sie Administrationsschnittstellen des Geräts, setzen Sie MFA durch und verfolgen Sie weiterhin die Anleitungen von BeyondTrust für aktualisierte Details zu CVE-2026-102764.
