BeyondTrust: το patch δεν αρκεί μετά την εκμετάλλευση του zero-day

21 Οκτωβρίου 2026 στις 06:00 π.μ.|Συντάκτης: Συντακτική ομάδα QUASA|5 λεπτά ανάγνωσης

Στις 16 Οκτωβρίου 2026, η ειδοποίηση του Καναδικού Κέντρου Κυβερνοασφάλειας ανέφερε δημόσιες αναφορές εκμετάλλευσης του CVE-2026-102764 στο BeyondTrust Remote Support και την προσθήκη του στον κατάλογο Known Exploited Vulnerabilities της CISA. Επηρεάζονται εγκαταστάσεις με έκδοση έως και 26.2.3. Η διόρθωση είχε ήδη διατεθεί, όμως για μια αυτοφιλοξενούμενη συσκευή η εφαρμογή της δεν απαντά στο αν υπήρξε πρόσβαση πριν κλείσει η ευπάθεια.

Η συμβουλή BT26-05 της BeyondTrust, που δημοσιεύθηκε στις 15 Οκτωβρίου 2026, βαθμολογεί την ευπάθεια με CVSS v4 9,3 και ορίζει το BT26-05-RS ως patch για τις εκδόσεις 24.3.1 έως 26.2.3. Η διόρθωση είχε εφαρμοστεί σε όλους τους πελάτες Remote Support SaaS έως τις 9 Οκτωβρίου. Για το self-hosted Remote Support, ο διαχειριστής πρέπει να επιβεβαιώσει την κατάσταση ενημέρωσης και να εξετάσει την παλαιότερη δραστηριότητα της συσκευής.

Ποια εγκατάσταση χρειάζεται patch

Το πρώτο κριτήριο είναι ποιος φιλοξενεί την υπηρεσία. Το δεύτερο είναι η έκδοση που λειτουργεί πράγματι η συσκευή και αν έχει παραλάβει το συγκεκριμένο patch. Η ύπαρξη διαθέσιμης ενημέρωσης δεν αποδεικνύει ότι μια αυτοφιλοξενούμενη εγκατάσταση την εφάρμοσε.

Remote Support SaaS: Το patch εφαρμόστηκε κεντρικά. Δεν απαιτείται από τον πελάτη χειροκίνητη εγκατάσταση στην υποδομή της υπηρεσίας.
Self-hosted με αυτόματες ενημερώσεις: Επιβεβαιώστε στη διαχείριση της συσκευής ότι το BT26-05-RS εγκαταστάθηκε. Η συνδρομή σε αυτόματες ενημερώσεις περιγράφει τον τρόπο διάθεσης, όχι το αποτέλεσμα σε κάθε εγκατάσταση.
Self-hosted χωρίς αυτόματες ενημερώσεις: Εφαρμόστε χειροκίνητα το BT26-05-RS στις εκδόσεις 24.3.1 έως 26.2.3. Καταγράψτε την έκδοση και την ολοκλήρωση της εγκατάστασης ώστε να είναι σαφές ποιες συσκευές έχουν διορθωθεί.
Self-hosted παλαιότερο από 24.3.1: Προηγείται αναβάθμιση σε νεότερη έκδοση που δέχεται το patch. Η συσκευή εξακολουθεί να επηρεάζεται, παρότι η συγκεκριμένη διόρθωση δεν εφαρμόζεται απευθείας στην παλιά έκδοση.

Το όριο των επηρεαζόμενων εκδόσεων και το εύρος συμβατότητας του patch έχουν διαφορετική σημασία. Το πρώτο δείχνει ποιες εγκαταστάσεις έχουν το ελάττωμα· το δεύτερο ποια διαδρομή ενημέρωσης μπορούν να ακολουθήσουν. Όπου λειτουργούν περισσότερες συσκευές, η κατάσταση ενημέρωσης χρειάζεται επιβεβαίωση για καθεμία.

Πότε άρχισε η εκμετάλλευση

Το χρονολόγιο της BeyondTrust, ενημερωμένο στις 16 Οκτωβρίου, τοποθετεί την εκμετάλλευση στις 29 Αυγούστου 2026: μία εγκατάσταση Remote Support φιλοξενούνταν από την εταιρεία και μία ήταν αυτοφιλοξενούμενη. Η δραστηριότητα στη φιλοξενούμενη εγκατάσταση εντοπίστηκε στις 28 Σεπτεμβρίου και περιορίστηκε μέσα σε 27 λεπτά από την πρώτη ανίχνευση. Στις 30 Σεπτεμβρίου κοινοποιήθηκαν στην εταιρεία τα ευρήματα για τον αυτοφιλοξενούμενο πελάτη.

Το patch διατέθηκε στις 8 Οκτωβρίου και η δημόσια γνωστοποίηση έγινε στις 15 Οκτωβρίου. Η πρώτη γνωστή εκμετάλλευση προηγήθηκε και των δύο, γι’ αυτό πρόκειται για ευπάθεια zero-day. Κατά την τελευταία ενημέρωση του χρονικού, ήταν γνωστοί οι δύο επηρεασμένοι πελάτες και δεν είχε εντοπιστεί δραστηριότητα του επιτιθέμενου μετά τον Αύγουστο. Αυτό περιγράφει το εύρος της τότε διερεύνησης, όχι το σύνολο των πιθανών προσβολών.

Η αλληλουχία εξηγεί την πρακτική διαφορά ανάμεσα στη διόρθωση και στη διερεύνηση. Μια συσκευή μπορούσε να εκτεθεί πριν υπάρξει διαθέσιμο patch, ακόμη και αν σήμερα εμφανίζεται ενημερωμένη. Η ημερομηνία εγκατάστασης ορίζει πότε έκλεισε η ευάλωτη διαδρομή στη συγκεκριμένη συσκευή· δεν δείχνει τι συνέβη στους λογαριασμούς και στα αρχεία κατά την προηγούμενη περίοδο.

Γιατί η εγκατάσταση του patch δεν κλείνει το περιστατικό

Το ελάττωμα βρίσκεται στην επικύρωση της προέλευσης μηνυμάτων μεταξύ εσωτερικών στοιχείων του Remote Support. Υπό κατάλληλες συνθήκες, απομακρυσμένος επιτιθέμενος χωρίς προηγούμενη σύνδεση μπορεί να εκτελέσει λειτουργίες αρχείων στη συσκευή. Η δυνατότητα αυτή μπορεί να χρησιμοποιηθεί για την τοποθέτηση κακόβουλου αρχείου και να ανοίξει τον δρόμο για πρόσθετες ενέργειες μέσα από το σύστημα απομακρυσμένης υποστήριξης.

Στη φιλοξενούμενη εγκατάσταση που ερευνήθηκε, ο επιτιθέμενος τοποθέτησε web shell, απέκτησε διαχειριστικό έλεγχο, προσπέλασε αποθηκευμένα διαπιστευτήρια και διέγραψε τοπικά αρχεία καταγραφής. Δημιούργησε επίσης πρόσβαση σχεδιασμένη να αντέχει σε επανεκκίνηση. Έτσι, το patch κλείνει την αρχική ευάλωτη διαδρομή, αλλά δεν αφαιρεί απαραίτητα πρόσβαση που αποκτήθηκε νωρίτερα, τροποποιήσεις ρυθμίσεων ή τη δυνατότητα χρήσης διαπιστευτηρίων στα οποία είχε πρόσβαση ο επιτιθέμενος.

Η διαγραφή αρχείων καταγραφής δημιουργεί και πρόβλημα απόδειξης. Ένα καθαρό τοπικό ιστορικό δεν αρκεί για να αποκλείσει προηγούμενη δραστηριότητα, επειδή ο χειριστής της επίθεσης μπορούσε να επέμβει στη συσκευή. Αντίγραφα syslog και συμβάντων συνεδρίας που είχαν προωθηθεί εκτός της συσκευής μπορούν να διατηρήσουν στοιχεία για την περίοδο που ενδιαφέρει.

Τι ελέγχει ο διαχειριστής μετά την ενημέρωση

Στις αυτοφιλοξενούμενες εγκαταστάσεις που ήταν προσβάσιμες όσο παρέμεναν ευάλωτες, ο έλεγχος αρχίζει από τον χρόνο έκθεσης και από τα ίχνη που διατηρήθηκαν εκτός συσκευής. Αναζητούνται μη αναγνωρισμένες προνομιούχες συνεδρίες, απροσδόκητα αρχεία σε καταλόγους web, αλλαγές σε λογαριασμούς ή δικαιώματα και κενά στην προώθηση καταγραφών. Κάθε ένδειξη πρέπει να συγκριθεί με εγκεκριμένες εργασίες διαχείρισης και τα αντίστοιχα αιτήματα υποστήριξης.

Ιδιαίτερη σημασία έχουν οι αλλαγές δικαιωμάτων σε Jump Items ή Teams και οι μεταφορές αρχείων μέσα από συνεδρίες υποστήριξης. Τα στοιχεία αυτά δείχνουν αν η πρόσβαση στη συσκευή επεκτάθηκε σε άλλα συστήματα. Αν προκύψει ένδειξη παραβίασης, η διερεύνηση περιλαμβάνει τα διαπιστευτήρια που η εγκατάσταση αποθήκευε ή χρησιμοποιούσε και τις συνδέσεις της με εξωτερικές υπηρεσίες. Πριν από ανακατασκευή μιας ύποπτης συσκευής, χρειάζεται διατήρηση των διαθέσιμων πειστηρίων· η απλή επανεκκίνηση μπορεί να αφήσει μη αναγνωρισμένες αλλαγές στη θέση τους.

Διαβάστε επίσης:

Κοινοποίηση: