BeyondTrust закърпи уязвимост 9,3 — self-hosted системите искат ръчна намеса

BeyondTrust публикува бюлетина BT26-05 на 15 октомври 2026 г. за уязвимостта CVE-2026-102764 в Remote Support, оценена на 9,3 по CVSS 4.0. Засегнати са версиите до 26.2.3 включително. Доставчикът вече е приложил корекцията за своите SaaS клиенти, но при собствено хоствана система администраторът трябва да провери дали пачът BT26-05-RS действително е инсталиран.

Предупреждението на Канадския център за киберсигурност от 16 октомври 2026 г. посочва публикувани данни за експлоатация в реални атаки и препоръчва преглед за неочаквани или неоторизирани файлови операции. SaaS инсталациите са получили пача на 9 октомври и не изискват ръчно инсталиране за отстраняване на уязвимостта. За собствено хостваните системи решението зависи от версията и от това дали автоматичните актуализации са доставили корекцията.

Какво позволява пропускът в Remote Support

Вътрешни компоненти на Remote Support не са проверявали достатъчно добре произхода на получените съобщения. При подходящи условия отдалечен нападател може да извършва файлови операции върху засегнатото устройство без идентификационни данни и без действие от потребител. Сред възможните последици е произволно качване на файл, което може да даде път към компрометиране на самата система за поддръжка.

Това има по-широк обхват от една отдалечена сесия: устройството осигурява достъп до други системи и може да съхранява или посредничи при използването на идентификационни данни. Оценката 9,3 показва техническата тежест на уязвимостта, но сама по себе си не казва дали дадена организация остава изложена. За конкретната инсталация решаващи са моделът на хостване, работещата версия и потвърденото състояние на пача.

Кога е нужна ръчна корекция

Първото разделение е между услугата, управлявана от BeyondTrust, и инсталацията, управлявана от клиента. При собствено хостване включените автоматични актуализации може вече да са доставили BT26-05-RS; проверката на настройката за актуализации не замества проверката на резултата. Ако пачът липсва, версията определя дали може да се приложи веднага.

1. SaaS Remote Support: доставчикът е приложил корекцията и клиентът няма пач за ръчно инсталиране. При признаци за по-ранен инцидент обаче остава необходим преглед на достъпа и наличните записи.
2. Собствена инсталация от 24.3.1 до 26.2.3: установете дали BT26-05-RS е приложен автоматично. Ако системата не е абонирана за автоматични актуализации или пачът не е инсталиран, приложете го през интерфейса /appliance.
3. Собствена инсталация под 24.3.1: преминете към по-нова поддържана версия, за която е наличен BT26-05-RS, и след това приложете пача. Публикуваната корекция не е предназначена за пряко инсталиране върху тези по-стари издания.

За инсталация с включени автоматични актуализации не е достатъчно да се предполага, че пачът е пристигнал: нужно е потвърждение в състоянието на системата. Ако корекцията не се вижда в /appliance, администраторът може да отвори случай към поддръжката на BeyondTrust с номера на бюлетина. Успешното пачване затваря техническия пропуск занапред, но не установява дали устройството е било използвано от нападател преди това.

Какви доказателства има за експлоатация

В разследването на Mandiant са описани доказателства, че групата ARMORY CASTLE е използвала уязвимостта като непубличен пропуск в края на август 2026 г. След проникването нападателят е качил файлове, установил е постоянен достъп и е повишил привилегиите си върху засегнато устройство. Това са наблюдения от конкретен инцидент, а не признак, че всяка система с уязвима версия е компрометирана.

В този случай уеб обвивката SAWFLY е осигурявала достъп до устройството, а инструментът BARECLAW е използван за тунелиране на трафик. Нападателят е променил права на администраторски акаунт и е започнал сесия към вътрешни системи. Изтривани са и локални журнали, което ограничава стойността на проверка, основана само на записите, останали върху устройството. Тези действия обясняват защо инсталираният пач и липсата на видими проблеми в услугата не приключват проверката за по-ранно проникване.

Кои следи да се проверят след актуализацията

При система, която е била достъпна отвън, докато е работила с уязвима версия, прегледът трябва да обхване периода преди пачването. Търсят се неочаквани файлови операции, непознати заявки към уеб услугата, необичайни административни влизания и промени в ролите за достъп. Особено важни са нови сесии за поддръжка и прехвърляния на файлове към вътрешни устройства, които не съответстват на одобрена заявка.

Клиентите нямат пряк достъп за одит на файловата система на устройството, затова проверката трябва да използва достъпните отчети за сесии и външно съхранявани записи: syslog, обратен прокси или защитна стена за уеб приложения, както и мрежови журнали. Прекъсване в изпращането на записи също заслужава внимание, тъй като при разследвания инцидент локални журнали са били изтривани. Отделен необичаен файл или пропуск в журнал не доказва сам по себе си експлоатация; значението му зависи от хронологията и останалите следи.

При обосновано съмнение за компрометиране доказателствата трябва да се запазят, преди устройство да бъде рестартирано или изолирано. За виртуална инсталация това може да включва моментно копие с паметта и копие на диска; за физическо устройство или SaaS среда е необходимо съдействие от BeyondTrust за съхраняване на данните. Ако проверката установи неразрешен достъп, последиците може да обхващат и системите, до които са започвани сесии през Remote Support, както и идентификационните данни, достъпни през него.

Прочетете също:

• PageBreak откри над 500 XSS уязвимости, но не вярва на догадки
• MailerLite или Sender: евтиният имейл се променя при системните съобщения
• Два zero-day пробива в NetScaler — стандартната конфигурация също е уязвима