Follow BeyondTrust ujawniło CVE-2026-102764, krytyczną lukę w Remote Support (RS), która została wykorzystana jako zero-day przez podejrzanego aktora cybernetycznego szpiegowania związanego z Chinami. Luka posiada wynik CVSS 4.0 wynoszący 9.3 i może pozwolić nieautoryzowanemu zdalnemu atakującemu na wykonanie dowolnych operacji plikowych na podatnym urządzeniu.
Google Threat Intelligence Group i Mandiant przypisują zaobserwowane wykorzystanie luki ARMORY CASTLE, wcześniej śledzone jako UNC5221 i również powiązane z nazwą WARP PANDA. Grupa ma historię celowania w urządzenia zabezpieczające dostępne z internetu i wykorzystywania wcześniej nieznanych luk, aby uzyskać trwały dostęp do środowisk o dużej wartości.
Ataki rozpoczęły się już 29 sierpnia 2026, kiedy aktor zagrożenia skutecznie wykorzystał jeden z hostowanych przez BeyondTrust Remote Support i jedno samodzielnie hostowane urządzenie. Później BeyondTrust odtworzyło lukę, opracowało naprawę i zaczęło dystrybuować łatkę BT26-05 przed publicznym ujawnieniem CVE 15 października 2026.
Skuteczne wykorzystanie może zapewnić atakującym przyczółek na urządzeniu, które pośredniczy w uprzywilejowanym zdalnym dostępie i może zawierać lub zapewniać dostęp do danych uwierzytelniających administracji, tajemnic API, sesji wsparcia i wewnętrznych punktów końcowych. Mandiant zaobserwował, jak atakujący eskalowali uprawnienia do poziomu root, wdrażali niestandardowe złośliwe oprogramowanie, pozyskiwali dane uwierzytelniające, modyfikowali kontrole dostępu i przemieszczali się do systemów downstream.
Organizacje mogą wykorzystać AI-Native Detection Intelligence Platform od SOC Prime, aby przyspieszyć polowanie na zagrożenia i inżynierię wykrywania dla nowych luk i aktywnych kampanii eksploatacyjnych w środowiskach SIEM, EDR, XDR i Data Lake.
Prime Architect może również pomóc zespołom bezpieczeństwa przekształcić techniczną inteligencję zagrożeń w logikę wykrywania, zapytania do polowania i specyficzne dla środowiska zasady, wspierając szybszą analizę nowo ujawnionych technik ataku.
Analiza CVE-2026-102764
CVE-2026-102764 wpływa na wersje BeyondTrust Remote Support do 26.2.3 włącznie. BeyondTrust klasyfikuje problem jako niewłaściwą walidację pochodzenia w wewnętrznym komponencie komunikacyjnym pod CWE-290. Zainfekowane komponenty nie wystarczająco weryfikowały pochodzenie odebranych wiadomości, co pozwalało zdalnemu atakującemu, w odpowiednich warunkach, wykonywać operacje plikowe na urządzeniu.
Luka otrzymała wynik CVSS 4.0 wynoszący 9.3 z dostępnym przez sieć wektorem ataku, niską złożonością ataku, bez wymaganych uprawnień i bez interakcji użytkownika. Skuteczne wykorzystanie może mieć duży wpływ na poufność, integralność i dostępność.
Obecnie BeyondTrust wstrzymuje szczegóły techniczne niższego poziomu dotyczące luki, podczas gdy organizacje samodzielnie hostujące kończą działania naprawcze. Jednakże, dochodzenie odpowiedzi na incydent Mandiant dostarcza istotne informacje na temat tego, jak atakujący działali po wykorzystaniu słabości.
ARMORY CASTLE wykorzystało lukę do zainscenizowania złośliwych plików na urządzeniach BeyondTrust Remote Support. Mandiant zaobserwował żądania POST skierowane na niezwykły zasób PHP przed utworzeniem niestandardowego webshell nazwanego SAWFLY w katalogach dostępnych przez sieć.
SAWFLY, przechowywany jako mangoapi.php, to lekki webshell PHP zaprojektowany do ukrycia swojej obecności, jednocześnie zapewniając interaktywne wykonywanie poleceń. Używa niestandardowej warstwy komunikacyjnej Base32 połączonej z szyfrowaniem RC4 i odpowiada tylko wtedy, gdy przychodzące żądania zawierają określony parametr. Żądania, które nie przechodzą tej kontroli, otrzymują odpowiedź HTTP 404, pomagając webshellowi unikać automatycznych crawlerów i podstawowego skanowania bezpieczeństwa.
Webshell początkowo wykonywał się pod nieuprzywilejowanym kontem usługi strony. Aby uzyskać dostęp do roota, atakujący skopiowali /bin/sh do /usr/bin/dbus-authd, zmienili właściciela pliku na root i włączyli bit uprawnień SUID. Wykonanie tego zmodyfikowanego pliku binarnego zapewniało trwałe wykonywanie poleceń na poziomie roota.
Dostęp do roota dał ARMORY CASTLE znaczną kontrolę nad urządzeniem BeyondTrust i jego danymi o uprzywilejowanym dostępie. Mandiant zaobserwował, jak aktor nadużywał legalnego narzędzia administracyjnego /ns/sbin/bt-secrets, aby próbować odzyskać hasła, klucze API i inne dane uwierzytelniające przechowywane w natywnym skarbcu tajemnic urządzenia.
Atakujący podjęli również kroki, aby utrzymać dostęp podczas ponownego uruchamiania i resetów konfiguracji. Utworzyli skrypt startowy o nazwie zz-root-persist w /home/bomgar/sbin/post_boot.d i zmodyfikowali szablon sudoers urządzenia, aby skompromitowane konto usługi otrzymało bezhasłowe uprawnienia roota.
Innym niestandardowym narzędziem, BARECLAW, zostało wdrożone w celu utworzenia ukrytego tunelowania przez skompromitowane urządzenie. BARECLAW to proxy SOCKS5 oparte na C, które działa za pomocą WebSockets i może obsługiwać uwierzytelnianie, zamaskowanie ruchu, ograniczenia docelowe, proxy upstream i TLS.
Atakujący zmodyfikowali konfigurację HAProxy urządzenia, dzięki czemu zewnętrzne żądania do specjalnie wybranej ścieżki WebSocket były przezroczysto przekierowywane do BARECLAW nasłuchującego na localhost. Pozwoliło to tunelującym pozostać ukrytym przed podstawowym zewnętrznym skanowaniem portów, jednocześnie będąc osiągalnym przez urządzenie infrastruktury HTTPS.
Po kompromitacji działania sięgały poza samo urządzenie. ARMORY CASTLE używało skradzionych lub zmodyfikowanych uprawnień administracyjnych BeyondTrust, aby inicjować sesje Remote Support w stosunku do wewnętrznych punktów końcowych, żądać dostępu do systemu plików i pobierać wewnętrzne dokumenty przydatne do rozpoznania.
Aktor zagrożenia również zaangażował się w intensywne działania antyforensyczne. Mandiant zaobserwował usuwanie logów uwierzytelniania, rejestrów serwera WWW, logów aplikacji, logów PHP oraz rejestrów związanych z dostępem do skarbca uwierzytelniającego. Te zachowania podkreślają znaczenie przekazywania telemetrii urządzenia do zewnętrznego SIEM lub repozytorium logów, którego atakujący nie mogą usunąć po kompromitacji na poziomie hosta.
BeyondTrust przypisuje aktywność ARMORY CASTLE z umiarkowaną do dużej pewnością, co jest zgodne z oceną Mandiant. Grupa wcześniej wykorzystywała luki w produktach na krawędzi i zdalnego dostępu, w tym Citrix NetScaler i Ivanti Connect Secure, jako część długotrwałych operacji szpiegowskich.
Obecne ujawnienie nie zawiera publicznego PoC dla CVE-2026-102764. BeyondTrust celowo wstrzymało szczegóły eksploatacji, aby zmniejszyć ryzyko ataków naśladowczych, podczas gdy podatne urządzenia samodzielnie hostowane pozostają niezałatane.
Aby wykryć CVE-2026-102764, obrońcy powinni zbadać nietypowe pliki PHP, nieoczekiwanie tworzone pliki w katalogach dostępnych przez sieć, niewyjaśnione pliki binarne z SUID, modyfikacje szablonów HAProxy lub sudoers, podejrzane zmiany w rolach administratora oraz przerwy w przekazywaniu logów urządzenia.
Łagodzenie CVE-2026-102764
BeyondTrust wydało łatkę BT26-05 dla dotkniętych klientów przed skoordynowanym ujawnieniem. Na dzień 9 października 2026 firma zastosowała poprawkę do wszystkich instancji Remote Support SaaS u klientów. Klienci SaaS nie muszą ręcznie łatać samego urządzenia.
Klienci Remote Support samodzielnie hostowani, używający wersji od 24.3.1 do 26.2.3, powinni natychmiast zainstalować łatkę BT26-05-RS za pośrednictwem interfejsu zarządzania urządzeniem. Organizacje używające wersji starszej niż 24.3.1 muszą najpierw dokonać upgrade’u do wspieranej wersji przed zastosowaniem aktualizacji zabezpieczeń.
Chociaż BeyondTrust potwierdziło, że Remote Support jest podatne, Privileged Remote Access dzieli części podatnego kodu. Dostawca nie zidentyfikował skutecznej metody wykorzystania problemu przeciwko PRA, ale wydał odpowiednią łatkę jako środek ostrożności i zaleca, aby samodzielnie hostujący klienci PRA zastosowali ją.
Organizacje powinny rozważyć każde urządzenie Remote Support dostępne z internetu, które pozostało podatne podczas okna eksploatacji jako potencjalnie skompromitowane, dopóki nie zostanie dokładnie zbadane. Instalacja łaty zapobiega przyszłemu wykorzystaniu, ale nie usuwa złośliwego oprogramowania ani trwałości ustalonej przed naprawą.
Mandiant zaleca zabezpieczenie dowodów sądowych przed ponownym uruchomieniem lub odbudowaniem podejrzanego urządzenia. Dla urządzeń wirtualnych obejmuje to przechwytywanie pamięci, jeśli to możliwe, wykonanie zrzutu i eksport dysku. Organizacje powinny również zabezpieczyć zewnętrzne zapisy firewall, WAF, reverse-proxy i SIEM z całego okna ekspozycji.
Potwierdzone lub potencjalnie skompromitowane urządzenia powinny być izolowane na granicy sieci. Organizacje mogą również ograniczyć ruch wychodzący, pozostawiając dostęp tylko do niezbędnej infrastruktury aktualizacji i licencjonowania BeyondTrust.
Jeśli kompromitacja na poziomie hosta jest potwierdzona lub nie można jej wykluczyć, Mandiant zaleca odbudowanie urządzenia z czystego, w pełni załatanego obrazu, zamiast prób usunięcia poszczególnych złośliwych komponentów. Trwałość na poziomie hosta zaobserwowana w kampanii może przetrwać ponowne uruchomienia i resety konfiguracji.
Rotacja danych uwierzytelniających powinna nastąpić dopiero po załataniu, izolacji lub odbudowie skompromitowanego urządzenia. W przeciwnym razie nowe dane uwierzytelniające mogą być natychmiast dostępne dla atakującego, który zachowuje kontrolę nad systemem.
Priorytetowe dane uwierzytelniające do rotacji obejmują administratorów urządzeń, administratorów Remote Support, tajemnice klienta API, klucze SAML, konta directory-service bind, uwierzytelnienia Remote Support Vault, tajemnice integracji i dane uwierzytelniające wprowadzone podczas potencjalnie skompromitowanych sesji wsparcia.
Aby wykryć wykorzystanie CVE-2026-102764, zespoły bezpieczeństwa powinny korelować żądania WWW i zdarzenia tworzenia plików ze zmianami w kontach, aktywnością sesji wsparcia, nieoczekiwanymi transferami plików, podejrzanymi połączeniami WebSocket i przerwami w zewnętrznym przekazywaniu logów.
Opublikowane IOCs dla CVE-2026-102764 obejmują nazwę pliku webshell SAWFLY mangoapi.php z SHA-256 dc14e215269a93fdbc4c1a80b984c23faf7af0911c6dbb85309796a6f2ae95fb, binarny BARECLAW ingredi_ws z SHA-256 1f19b9a27d79c11bda00a1e8faf74a7fdd683d38ccef1b60df2fd0307e3aa462 i ścieżkę stagingową app_84304470.php.
Dodatkowe wskaźniki behawioralne obejmują tworzenie /usr/bin/dbus-authd z uprawnieniami SUID, skrypt startowy zz-root-persist, podejrzane zmiany w /ns/config/sudoers.template, nieoczekiwane modyfikacje w /ns/config/haproxy.conf i ścieżkę WebSocket /uidchanarge.
Zespoły bezpieczeństwa powinny również przeglądać wydarzenia audytowe BeyondTrust pod kątem nieoczekiwanych wzrostów uprawnień Jump Item lub Team, nowo utworzonych kont API lub użytkowników, podejrzanych logowań administratorów, niewytłumaczalnych sesji transferu plików i zmian w miejscach docelowych logów wychodzących.
Ponieważ ARMORY CASTLE systematycznie usuwało lokalne logi podczas zaobserwowanego włamania, organizacje nie powinny polegać wyłącznie na dowodach rezydujących na urządzeniach. Centralne przekazywanie logów, telemetria sieciowa perymetru, logi reverse-proxy i telemetria końcówek downstream są niezbędne do rekonstrukcji potencjalnej kompromitacji.
BeyondTrust również zaleca ograniczenie dostępu do interfejsów /login i /appliance, wymuszanie odpornego na phishing MFA dla administratorów, minimalizację lokalnych kont uprzywilejowanych, ograniczanie uprawnień API i stosowanie domyślnego-deny filtrowania wychodzącego, gdzie operacyjnie wykonalne.
AI-Native Detection Intelligence Platform od SOC Prime może pomóc zespołom bezpieczeństwa w operacjonalizacji najnowszych informacji o zagrożeniach związanych z aktywnością ARMORY CASTLE i przyspieszyć polowanie behawioralne w telemetrii tożsamości, sieci, punktów końcowych i urządzeń.
FAQ
Czym jest CVE-2026-102764 i jak działa?
CVE-2026-102764 to krytyczna luka w BeyondTrust Remote Support spowodowana niewystarczającą walidacją pochodzenia wiadomości wewnętrz komponentu komunikacyjnego. Nieautoryzowany zdalny atakujący może wykorzystać słabość do wykonania operacji plikowych na podatnym urządzeniu. W zaobserwowanych atakach ARMORY CASTLE użyło luki do ustanowienia początkowego przyczółka przed wdrożeniem webshelli, eskalacją uprawnień i uzyskaniem kontroli na poziomie root.
Kiedy CVE-2026-102764 został po raz pierwszy odkryty?
BeyondTrust zaobserwowało, że ARMORY CASTLE skutecznie wykorzystało zero-day 29 sierpnia 2026. Proaktywne polowanie na zagrożenia firmy zidentyfikowało aktywność 28 września, odtworzyło lukę tego samego dnia i rozpoczęło opracowywanie naprawy. Łatka została wydana klientom 8 października, wdrożenia SaaS były w pełni załatane do 9 października, a skoordynowane publiczne ujawnienie miało miejsce 15 października 2026.
Jaki jest wpływ CVE-2026-102764 na systemy?
Skuteczne wykorzystanie może umożliwić wykonywanie dowolnych operacji plikowych na urządzeniu BeyondTrust Remote Support i ustanowić ścieżkę do głębszej kompromitacji. W udokumentowanych atakach ARMORY CASTLE wdrożyło webshell SAWFLY, eskalowało uprawnienia do poziomu root, próbowało wyodrębnić dane uwierzytelniające, stworzyło trwały dostęp administracyjny, wdrożyło tuneler BARECLAW, zmodyfikowało konfiguracje urządzeń i przemieszczono się w stronę wewnętrznych systemów.
Czy CVE-2026-102764 może mnie nadal dotyczyć w 2026 roku?
Tak. Samodzielnie hostowane urządzenia BeyondTrust Remote Support używające wersji 26.2.3 lub wcześniej pozostają zagrożone, chyba że zastosowano łatkę BT26-05. Starsze urządzenia niż 24.3.1 muszą najpierw zostać zaktualizowane. Instancje Remote Support SaaS zostały załatane przez BeyondTrust do 9 października 2026.
Jak mogę się chronić przed CVE-2026-102764?
Natychmiast zainstaluj łatkę BT26-05, zbadaj urządzenia, które były dostępne przez internet, gdy były podatne, zabezpiecz telemetrię zewnętrzną i sądową oraz odbuduj systemy, gdzie kompromitacja jest potwierdzona lub nie można jej wykluczyć. Rotuj uprzywilejowane dane uwierzytelniające dopiero po przejęciu kontroli, ogranicz interfejsy administracyjne urządzeń, wymuszaj MFA i kontynuuj monitorowanie wskazówek BeyondTrust dla zaktualizowanych szczegółów dotyczących CVE-2026-102764.
