BeyondTrust Remote Support: Ungenügende Ursprungsprüfung erlaubt Dateioperationen

Zusammenfassung

Ein nicht authentifizierter Angreifer kann interne Messaging-Komponenten von BeyondTrust Remote Support missbrauchen, die die Herkunft von Nachrichten nicht ausreichend prüfen, und so Dateioperationen auf der Appliance ausführen. CISA führt die Schwachstelle als aktiv ausgenutzt, und ein China-nahe Akteur hat sie mindestens gegen ein System eingesetzt. Selbst gehostete Instanzen, die aus dem Internet erreichbar sind, sind das Hauptrisiko, da eine Kompromittierung gespeicherte und vermittelte Zugangsdaten offenlegen kann.

Betroffen

• Remote Support selbst gehostet, Versionen 0 bis 26.2.3 (gemäss BeyondTrust-Advisory BT26-05)
• SaaS-Instanzen: vom Hersteller seit dem 9. Oktober 2026 gepatcht, für den vom Hersteller betriebenen Dienst ist kein Handeln Ihrerseits nötig
• Privileged Remote Access teilt einen Teil des betroffenen Codes; BeyondTrust meldet keinen Ausnutzungspfad, hat aber vorsorglich ein Patch veröffentlicht

Behoben in

• Patch BT26-05-RS für selbst gehostete Versionen 24.3.1 bis 26.2.3
• Versionen älter als 24.3.1 müssen zuerst auf eine neuere Version aktualisiert werden; gemäss Recherche gibt es für diese Builds keinen Patch, die Zielversion ist dem Hersteller-Advisory zu entnehmen
• Massgebliche Quelle: BeyondTrust-Advisory BT26-05

Umgehung

• Kein vom Hersteller dokumentierter Workaround; das Patchen ist die einzige genannte Massnahme
• Vorläufige Empfehlung von CISA: externen Zugriff auf die Appliance auf die für Benutzer und Kunden nötigen Dienste beschränken und administrative Schnittstellen auf vertrauenswürdige Netze begrenzen

Ausnutzung

• In freier Wildbahn ausgenutzt: ja (CISA KEV, hinzugefügt am 16.10.2026)
• Die Ausnutzung soll am 29. August 2026 begonnen haben; Google Threat Intelligence/Mandiant ordnet sie ARMORY CASTLE (früher UNC5221) zu, einer mutmasslich China-nahen Gruppe
• Gemeldete Aktivitäten nach der Ausnutzung umfassen das Bereitstellen von Dateien, den Diebstahl interner Dokumente und den Zugriff auf gespeicherte Zugangsdaten
• Öffentlicher Proof of Concept: unbekannt

Unsere Empfehlung

• Alle Remote-Support-Instanzen erfassen und prüfen, ob es sich um SaaS oder selbst gehostete Systeme handelt; Version bestätigen
• BT26-05-RS auf selbst gehosteten Systemen einspielen; Builds älter als 24.3.1 zuerst aktualisieren
• Internetzugang zur Appliance und zu deren Administrationsschnittstelle entfernen oder einschränken
• Ab dem 29. August 2026 auf Kompromittierung prüfen: Logs, Administrationsänderungen (Jump Item- und Team-Berechtigungen) und neue Dateiartefakte kontrollieren
• Nach dem Patchen alle von der Appliance gespeicherten oder eingespeisten Zugangsdaten rotieren, aktive Support-Sitzungen widerrufen und neue MFA-Registrierungen auf privilegierten Konten prüfen
• Das Patchen entfernt eine bereits erfolgte Kompromittierung nicht

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (3 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  Worthes/CVE-2026-102764-Proof-of-concept · maxprog-svg/CVE-2026-102764 · CompleteTech-Security/beyondtrust-remote-support-cve-2026-102764-check

Quellen der Recherche

• BeyondTrust Security Advisory BT26-05 www.beyondtrust.com
• BeyondTrust Blog BT26-05 www.beyondtrust.com
• NVD CVE-2026-102764 nvd.nist.gov
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• CISA Alert: Urges patching of BeyondTrust Remote Support www.cisa.gov
• Canadian Centre for Cyber Security AL26-025 www.cyber.gc.ca
• Google Threat Intelligence: ARMORY CASTLE exploits BeyondTrust cloud.google.com
• GitHub Advisory GHSA-pf95-v8m2-73q8 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:28.