Celah BeyondTrust bernilai 9,3—semua versi Remote Support terdampak

Pada 15 Oktober 2026, advisori BT26-05 BeyondTrust mengungkap CVE-2026-102764 pada Remote Support dengan skor CVSS v4 9,3. Seluruh versi hingga 26.2.3 masuk dalam cakupan celah yang, dalam kondisi tertentu, memungkinkan penyerang jarak jauh melakukan operasi berkas pada appliance. Status risiko sebuah instans bergantung pada apakah perbaikan sudah diterapkan.

Pada 16 Oktober 2026, peringatan Pusat Keamanan Siber Kanada menggolongkan celah itu sebagai bypass autentikasi melalui pemalsuan asal pesan. Peringatan tersebut menyatakan seluruh instans Remote Support SaaS telah menerima patch per 9 Oktober 2026, sedangkan instalasi yang dijalankan sendiri harus diperiksa menurut versi dan status pembaruannya. Bagi administrator, pekerjaan pertama adalah menemukan setiap instans Remote Support dan membedakan layanan SaaS dari appliance yang dikelola organisasi sendiri.

Cakupan versi dan akibat bypass autentikasi

Kelemahannya berada pada komponen pesan internal Remote Support yang tidak cukup memvalidasi asal pesan yang diterima. Dalam kondisi eksploitasi yang dijelaskan, penyerang dapat melakukan operasi berkas tanpa kredensial dan tanpa tindakan pengguna. Operasi itu mencakup pengunggahan berkas sembarang; penguasaan penuh atas appliance merupakan kemungkinan akibat lanjutan, bukan hasil yang pasti pada setiap instans.

Rentang versi terdampak perlu dibaca bersama status patch. Nomor versi yang masuk daftar terdampak menunjukkan bahwa perangkat lunaknya memerlukan perbaikan, sementara instans yang sudah menerima patch memiliki status berbeda dari instans dengan nomor versi sama yang belum diperbarui. Karena itu, inventaris yang berguna mencatat versi terpasang, model pengelolaan, status pembaruan otomatis, dan hasil verifikasi patch untuk setiap appliance, bukan hanya nama produk dalam daftar aset.

Perbedaan itu juga menentukan siapa yang harus memasang perbaikan. Pada layanan SaaS, penyedia telah menerapkannya. Pada instalasi yang dijalankan sendiri, tersedianya paket patch belum membuktikan bahwa paket tersebut telah terpasang. Appliance yang pernah dapat diakses dari internet saat masih rentan juga memerlukan pemeriksaan aktivitas sebelum pembaruan, sekalipun pemasangan patch kemudian berhasil.

Urutan patch untuk appliance yang dijalankan sendiri

Administrator dapat mengurutkan respons dari cakupan instans menuju verifikasi perbaikan. Urutan ini mencegah appliance lama terlewat hanya karena paket patch tidak dapat langsung dipasang pada versinya, sekaligus memisahkan pekerjaan menutup celah dari pemeriksaan kemungkinan penyalahgunaan sebelumnya.

1. Temukan dan klasifikasikan instans. Cocokkan inventaris dengan appliance Remote Support yang benar-benar aktif, termasuk yang dikelola tim atau lokasi berbeda. Tandai mana yang SaaS dan mana yang dijalankan sendiri, lalu catat antarmuka yang dapat dijangkau dari jaringan luar.
2. Periksa versi dan jalur pembaruan. Patch BT26-05-RS ditujukan untuk instalasi Remote Support versi 24.3.1 sampai 26.2.3. Instalasi yang lebih tua perlu ditingkatkan lebih dahulu ke versi yang mendukung patch, kemudian menerima perbaikannya.
3. Pasang patch dan pastikan hasilnya. Appliance yang tidak berlangganan pembaruan otomatis memerlukan pemasangan manual. Periksa status patch pada setiap instans setelah pekerjaan selesai; unduhan paket atau jadwal pemeliharaan saja belum menunjukkan bahwa celah telah ditutup.
4. Kurangi paparan selama penanganan. Batasi antarmuka administratif ke jaringan tepercaya, buka hanya bagian appliance yang diperlukan pengguna, dan tinjau tujuan lalu lintas keluar yang memang dibutuhkan. Pembatasan ini mengurangi jalur akses selama perbaikan berlangsung, tetapi appliance tetap memerlukan patch.

Catatan per instans penting ketika organisasi memiliki beberapa appliance dengan jadwal pemeliharaan berbeda. Simpan versi awal, waktu penerapan, hasil verifikasi, dan periode ketika appliance dapat dijangkau sebelum patch. Rincian itu membantu tim keamanan menentukan jendela waktu yang perlu diperiksa tanpa menganggap semua instans memiliki riwayat paparan yang sama.

Jejak sebelum patch tetap perlu ditelusuri

Dalam penjelasan keamanan BeyondTrust yang diperbarui pada 16 Oktober 2026, perusahaan menyatakan pelaku mengeksploitasi celah pada 29 Agustus 2026 terhadap satu instans Remote Support yang dihosting BeyondTrust dan satu appliance yang dijalankan pelanggan. Pada instans yang diselidikinya, pelaku memasang web shell, meningkatkan hak akses, mengakses kredensial, lalu menghapus log dan alat yang digunakan. Riwayat tersebut menjadikan pemeriksaan kompromi pekerjaan tersendiri setelah patch terpasang.

Pemeriksaan dapat dimulai dari berkas skrip yang tidak dikenal di direktori web dan akun layanan web yang menjalankan shell. Cocokkan waktu temuan itu dengan sesi administratif yang tidak dapat dihubungkan ke administrator atau tiket pekerjaan, serta perubahan akun, izin, dan kebijakan sesi yang tidak direncanakan. Akses dari alamat broadband perumahan atau layanan VPN komersial patut ditelusuri bila muncul dalam sesi istimewa yang tidak dikenal.

Perhatikan pula jeda tak terduga dalam pengiriman log. Pelaku pada penyelidikan tersebut menghapus catatan lokal, sehingga catatan yang tersisa di appliance tidak selalu memberi riwayat utuh. Salinan syslog dan peristiwa sesi yang telah dikirim ke sistem pemantauan terpisah dapat memperlihatkan aktivitas yang tidak lagi tampak pada perangkat. Cocokkan beberapa jenis bukti sebelum menyimpulkan adanya kompromi; berkas asing atau satu sesi yang tidak dikenal perlu ditempatkan dalam urutan waktu dan perubahan sistem yang sama.

Jika pemeriksaan menemukan bukti akses tanpa izin, kredensial yang disimpan atau disalurkan appliance perlu diperlakukan sebagai terpapar. Telusuri pemakaiannya pada sistem tujuan, periksa autentikasi dari lokasi yang tidak biasa dan pendaftaran autentikasi multifaktor baru pada akun istimewa, lalu pertahankan citra appliance sebelum membangunnya ulang. Hasil pemeriksaan itulah yang menentukan apakah respons berhenti pada verifikasi patch atau berlanjut sebagai penanganan insiden.

Baca juga:

• Firefox 157 menutup celah sandbox—pembaruan biasa kini mendesak
• Firefox 158 menutup celah eskalasi hak—versi lama berisiko tinggi
• Lowongan remote terlihat sah? Lakukan lima pemeriksaan sebelum mengirim data