BeyondTrust heeft een kritieke zero-day in Remote Support gepatcht die sinds augustus actief wordt misbruikt door een China-gerelateerd spionagenetwerk.
BeyondTrust heeft klanten gewaarschuwd om een kritieke kwetsbaarheid in hun Remote Support (RS) oplossing te patchen. Deze zero-day, bekend als CVE-2026-102764, wordt sinds eind augustus actief misbruikt in aanvallen. Remote Support is een enterprise-grade oplossing die IT-service- en helpdesks helpt bij het op afstand oplossen van problemen.
De kwetsbaarheid betreft een authentication bypass die aanvallers zonder privileges in staat stelt om bestanden te manipuleren op onbeschermde systemen met RS versie 26.2.3 of ouder. BeyondTrust heeft op 8 oktober een patch uitgebracht voor alle SaaS-gebruikers van Remote Support en Privileged Remote Access, maar zelf-gehoste installaties moeten handmatig worden bijgewerkt als automatische updates niet zijn ingeschakeld.
Volgens Mandiant en Google Threat Intelligence Group (GTIG) wordt de kwetsbaarheid misbruikt door een vermoedelijk China-gerelateerd spionagenetwerk, bekend als "Armory Castle" (voorheen UNC5221) en door CrowdStrike als "Warp Panda" aangeduid. De aanvallers gebruiken de kwetsbaarheid om initiële toegang te verkrijgen en escaleren vervolgens naar rootrechten door Set User ID (SUID) permissies te activeren. Daarna installeren zij malware zoals de Sawfly web shell en Bareclaw tunneler, wissen logs om detectie te voorkomen en bewegen zich lateraal door het netwerk met gestolen Administrator-credentials.
Mandiant waarschuwt dat elk apparaat dat tijdens de exploitatieperiode vanaf het internet bereikbaar was met een kwetsbare versie als mogelijk gecompromitteerd moet worden beschouwd totdat het is onderzocht. De internetwaakhond Shadowserver houdt meer dan 1.400 BeyondTrust Remote Support instanties bij die online zichtbaar zijn, maar geeft geen inzicht in hoeveel daarvan al zijn beveiligd of als honeypot fungeren.
Armory Castle staat bekend om het gericht misbruiken van zero-days in netwerkapparatuur, waaronder eerder kwetsbaarheden in Citrix NetScaler en Ivanti Connect Secure, om bedrijfsnetwerken binnen te dringen en malware te installeren. In januari 2024 meldde Volexity dat UNC5221 meer dan 2.100 Ivanti-apparaten had geïnfecteerd met de GiftedVisitor webshell via een keten van zero-days. Mandiant verwacht dat vergelijkbare grootschalige exploitatiepogingen voor CVE-2026-102764 mogelijk zullen volgen.
Deze zero-day is de nieuwste in een reeks kwetsbaarheden in BeyondTrust-producten die in de praktijk worden misbruikt. Recentelijk werd een andere kritieke kwetsbaarheid (CVE-2026-1731) gebruikt om ransomware te verspreiden via WebSocket-kanalen. Daarnaast wordt de Chinese door de staat gesteunde groep Silk Typhoon verdacht van het misbruiken van twee zero-days om BeyondTrust-systemen te compromitteren en met een gestolen API-sleutel 17 Remote Support SaaS-instanties, waaronder die van het Amerikaanse ministerie van Financiën, aan te vallen.
