Неаутентифицированный злоумышленник получает возможность удалённо создавать и изменять файлы на аппаратном комплексе BeyondTrust Remote Support. Речь об уязвимости CVE-2026-102764 с рейтингом CVSS v4, равным 9.3, - вендор относит её к критическому уровню. Проблему уже применяли в реальной атаке: BeyondTrust подтверждает эксплуатацию как уязвимости нулевого дня. Затронуты все версии Remote Support до 26.2.3 включительно. Патч для них подготовили 8 октября.
CVE-2026-102764 и группировка ARMORY CASTLE
Причина проблемы - недостаточная проверка источника сообщений (класс CWE-290). Внутренние компоненты продукта не проверяли должным образом, откуда приходят сообщения. При определённых условиях это открывало путь к файловым операциям на комплексе. Технические подробности вендор не раскрывает намеренно. Пока обновлены не все локальные установки, публикация деталей повысила бы риск для тех, кто ещё не поставил патч.
Речь о программно-аппаратном комплексе, который компании размещают у себя и через который администраторы подключаются к парку серверов и рабочих станций. Такой комплекс хранит и передаёт привилегированные учётные данные, а также содержит сведения о том, кому и куда открыт доступ. Компрометация одного устройства расширяет злоумышленнику возможности внутри управляемой инфраструктуры.
Кто стоит за атакой
Атаку связывают с группировкой ARMORY CASTLE (ранее UNC5221), которую CrowdStrike отслеживает как WARP PANDA. Mandiant и подразделение Google Threat Intelligence Group (GTIG) оценивают принадлежность как умеренно или высоко достоверную. Вывод держится на методах работы, а не на инфраструктуре. Группировка меняет серверы и инструменты под каждую жертву, поэтому индикаторы одного взлома почти не повторяются в следующем.
Публичные отчёты описывают её как государственную разведывательную операцию с установкой на долгий сбор информации. Среди целей - юридические фирмы, поставщики облачных сервисов, аутсорсинговые и технологические компании, государственные структуры. Атаки на технологических заказчиков, по оценке GTIG, питают разработку новых эксплойтов (вредоносного кода, эксплуатирующего уязвимость). Ранее этой же группировке приписывают использование нулевых дней в Citrix NetScaler и Ivanti Connect Secure.
Хронология и следы в системе
29 августа 2026 года атакующий применил уязвимость против одного облачного экземпляра Remote Support и одного комплекса, развёрнутого у клиента. 28 сентября служба киберзащиты BeyondTrust заметила признаки взлома и локализовала экземпляр за 27 минут. К вечеру того же дня продуктовая безопасность воспроизвела путь проникновения в лаборатории, инженеры начали готовить исправление. 8 октября патч получили облачные и локальные клиенты, 15 октября вышли согласованное раскрытие сведений, бюллетень и разбор Mandiant.
Отдельная деталь касается обнаружения. Датчики сработали в момент повышения привилегий, но встроенная автоматическая сортировка сигналов в сторонней платформе закрыла их как ложные. BeyondTrust договорилась с поставщиком о том, чтобы автоматика не закрывала сигналы высокой степени опасности самостоятельно.
После входа атакующий действовал вручную. Он размещал веб-оболочку (скрипт для удалённого управления через веб-сервер) и работал через неё. Соединения шли через выходы коммерческих VPN и скомпрометированные домашние роутеры, поэтому трафик выглядел как обычный пользовательский. За считанные минуты оператор получал полный административный контроль и закреплялся в системе так, чтобы пережить перезагрузку. Дальше он читал хранимые комплексом секреты и через административный доступ уходил в связанные системы. Перед уходом стирал журналы и собственные инструменты.
Privileged Remote Access и общий код
Уязвимость подтверждена только в Remote Support. Продукт Privileged Remote Access использует тот же код, поэтому патч подготовили и для него - из предосторожности. Эксплуатацию в этом продукте не выявили. BeyondTrust советует клиентам с установкой на своих мощностях поставить исправление немедленно.
Что делать администраторам
Обновление закрывает проблему, и это первое действие. Облачные экземпляры обоих продуктов уже обновлены. Тем, кто размещает комплекс у себя, нужен патч BT26-05-RS для версий с 24.3.1 по 26.2.3. На более старых сборках сначала придётся перейти на поддерживаемую версию. Системы, которые уже обновлены, всё равно проверяют на следы прежнего взлома.
Доступ стоит сузить. Оставляйте открытыми только те части устройства, которые нужны пользователям и заказчикам, а административные интерфейсы закрывайте доверенными сетями. Исходящие соединения с управляющего комплекса разрешают лишь к необходимым адресам, трафик в обе стороны держат под наблюдением.
Журналы и события сессий пересылайте в SIEM-систему (класс программных продуктов для управления событиями ИБ и корреляции данных) почти в реальном времени. Атакующий стирает локальные записи, и копии за пределами устройства часто остаются единственным свидетельством.
Искать имеет смысл поведение, а не индикаторы. Настораживают незнакомые привилегированные сессии с домашних адресов и из коммерческих VPN, а также посторонние скрипты в веб-каталогах. Ещё два признака: запуск оболочек из-под учётных записей веб-службы и неожиданные разрывы в пересылке журналов внутри одной сессии. Проверьте также правки в правах доступа к элементам подключения и группам.
Если следы нашлись, учётные данные, которые комплекс хранил или подставлял, считайте раскрытыми. Меняйте пароли и ключи, следите за входами этих учётных записей вне управляемых сессий, проверяйте новые регистрации в многофакторной аутентификации. Перед пересборкой снимите образ устройства.
Разрыв между раскрытием уязвимости и её применением сокращается. По данным GTIG, число эксплуатируемых уязвимостей в 2026 году выросло почти вдвое, а первый известный сценарий нулевого дня, собранный с помощью генеративного искусственного интеллекта, уже описан публично. Скорость установки патча, ширина доступа с комплекса и сохранность журналов остаются теми параметрами, которые защита контролирует сама.
Ссылки
- https://www.beyondtrust.com/blog/entry/bt26-05
- https://www.beyondtrust.com/trust-center/security-advisories/bt26-05
