BeyondTrust Remote Support 漏洞将支持工具变成攻击路径

攻击者在漏洞公开披露前数周就已利用 Remote Support 中的严重漏洞，BeyondTrust 因此面临紧急修补危机。该 BeyondTrust Remote Support 漏洞编号为 CVE-2026-102764，CVSS 评分为 9.3，影响 Remote Support 26.2.3 及更早版本。

CISA 于 2026 年 10 月 16 日将该漏洞纳入其已知遭利用漏洞目录（Known Exploited Vulnerabilities catalog）。这一行动确认了存在真实世界利用的可信证据，而非仅是理论上的安全风险。CISA 正敦促受影响的自托管设备运营方立即应用 BT26-05-RS 补丁。

核心问题不止于安装一次更新。Remote Support 设备充当通向内部系统、凭据和管理会话的高权限访问中介。Mandiant 发现，攻击者利用一台已失陷的设备建立持久化机制、获取 root 权限，并进一步抵达下游端点。

这意味着，打补丁只是响应工作的开始，而不是终点。组织或许能封堵最初的漏洞，却仍可能留下攻击者账户、植入程序或被盗凭据。

CISA 将 BeyondTrust Remote Support 漏洞列入紧急处置时间表

CISA 的警告使 CVE-2026-102764 从常规补丁决策升级为活跃事件响应的优先事项。

BeyondTrust 于 10 月 15 日公开披露该漏洞。CISA 次日便基于活跃攻击的证据，将其加入已知遭利用漏洞目录。

该机构的补丁警报聚焦于自托管 Remote Support 设备。除非自动更新已安装修复，否则这些系统需要客户直接采取行动。

Remote Support 26.2.3 及更早版本均受影响。运行 24.3.1 至 26.2.3 版本的受支持部署可获取 BT26-05-RS 补丁。使用更早版本的客户必须先升级，才能应用该补丁。

BeyondTrust 表示，截至 10 月 9 日，其已为所有 Remote Support 软件即服务环境应用该补丁。这一区别十分重要，因为在每位运营方完成自身更新流程前，自托管系统仍可能处于暴露状态。

CISA 的已知遭利用漏洞目录通常简称为 KEV，用于识别攻击者已在研究环境之外利用过的漏洞。根据具有约束力的运营指令 22-01，联邦民用机构必须在指定期限前修复目录中的漏洞。

对于 CVE-2026-102764，联邦机构的截止日期是 10 月 19 日，即纳入目录仅三天后。这一紧迫期限反映出漏洞的严重性，以及高权限远程访问设备遭入侵可能造成的后果。

联邦政府以外的组织不受该指令约束。不过，CISA 建议所有组织在设定漏洞管理优先级时参考该目录。

供应商公告将该漏洞归类为内部消息组件中的来源验证不当。实际而言，该设备未能验证某些消息的来源。

在适当条件下，远程攻击者可滥用这一弱点，在无需认证或用户交互的情况下执行文件操作。Mandiant 表示，任意文件上传可进一步导致主机级控制权。

这一路径解释了为何常规维护窗口不适用于此次事件。远程、未认证的攻击者无需有效凭据、钓鱼受害者或已有支持会话，即可开始利用漏洞。

CISA 还要求对受影响的联邦系统开展取证分诊。这一要求承认补丁的一项关键局限：安装修正后的软件，无法揭示攻击者是否在更新前已进入系统。

组织应首先确认其准确的 Remote Support 版本和补丁状态。还应确定设备何时可从互联网访问，并保留覆盖整个暴露期间的日志。

攻击在防御方获得补丁前就已开始

危险窗口始于 8 月下旬，约比公开披露早六周；在此之前，防御方尚未拥有明确的修复路径。

Mandiant 确认 ARMORY CASTLE 发起了利用活动。该组织疑似与中国有关联的间谍团伙，先前被追踪为 UNC5221。调查显示，已观察到的零日活动可追溯至 2026 年 8 月 29 日。

零日漏洞是指在受影响组织获得公开可用修复方案前便遭利用的漏洞。这一时间差使攻击者获得了任何补丁管理计划都无法提前消除的优势。

BeyondTrust 表示，该行为者于 8 月 29 日攻陷了一套公司托管的 Remote Support 实例和一台自托管设备。该公司称，在发布时，除这两起已知案例外，未发现更多对手活动的证据。

这一数字描述的是已确认事件，而非受影响系统的最大数量。其他失陷事件可能缺乏留存证据，特别是在攻击者能够从设备中删除日志的情况下。

发现过程也显示，预警信号多么容易变得零散。9 月 27 日，另一家安全供应商相关的利用活动公开后，BeyondTrust 开始进行关联威胁狩猎。

9 月 28 日，BeyondTrust 的网络防御团队在其托管环境中发现了相关证据。该公司称，其在首次发现后的 27 分钟内控制住了该实例。

其产品安全团队当晚复现了入侵方法，工程团队则开始开发修复方案。Mandiant 于 9 月 30 日分享了自托管客户调查的发现。

BeyondTrust 于 10 月 8 日向托管和自托管客户发布补丁。该公司称，截至 10 月 9 日，其 Remote Support SaaS 环境已获得修复。

协调后的公开披露于 10 月 15 日进行。这一时间安排让客户能在技术报告提升漏洞关注度前，获得一段短暂的修补窗口。

但公开披露会引发第二场竞赛。即使供应商未提供详细的利用说明，攻击者仍可借助公告、补丁和产品行为研究漏洞。

BeyondTrust 在客户更新系统期间暂未披露技术利用细节。不过，该公司的公开描述仍指出了易受攻击的组件以及失效的安全边界。

ARMORY CASTLE 此前曾瞄准 Citrix 和 Ivanti 的边界设备。边界设备位于外部网络与敏感内部资源之间，因此成为间谍行动颇具吸引力的入口点。

Google Threat Intelligence Group 预计，该行为者将继续利用这类产品中的零日漏洞。该评估基于其反复开展的攻击活动、专门工具以及对目标平台的深入了解。

在先前漏洞公开后，该组织也已从选择性使用零日漏洞转向更广泛的利用。这一历史使得披露后每一台尚未修补的 Remote Support 设备面临更高风险。

因此，早期事件提供的是警告，而非令人安心的上限。防御方必须假设，其他团伙可在研究公开证据后开发独立的利用方法。

文件访问如何演变为 root 控制与横向移动

此次攻击之所以重要，是因为文件操作漏洞变成了一条从公共互联网通往互联系统高权限控制权的路径。

漏洞最初具备的能力听起来比最终入侵造成的影响更有限。BeyondTrust 描述的是未经授权的文件操作，而 Mandiant 观察到攻击者将这种访问转化为持久的管理立足点。

根据事件分析，ARMORY CASTLE 上传了名为 SAWFLY 的定制 PHP webshell。webshell 是一种服务器端脚本，可让攻击者通过 Web 请求执行命令。

调查人员发现，SAWFLY 使用加密的命令与控制通信，并在请求缺少预期参数时返回伪造的 404 响应。这种行为有助于其避开基础的自动化扫描。

攻击者在首次观察到与漏洞利用相关的请求约 11 分钟后创建了 SAWFLY。它最初通过设备上的低权限服务账户运行。

随后，ARMORY CASTLE 复制了一个系统 shell 并为其设置了 Set User ID 权限。SUID 是一种 Unix 权限，它允许程序以所有者权限而非调用者权限运行。

由于被复制的 shell 属于 root，这一改动形成了通向 root 级执行的路径。该权限让攻击者能够触及设备的操作系统、配置和存储的机密信息。

Mandiant 观察到攻击者尝试使用 BeyondTrust 的专有工具，从设备的机密数据库中提取凭据。该行为者尝试了多种命令格式，以获取特定账户和全局保险库数据。

调查人员还发现了一个启动脚本，它为服务账户授予了无需密码的 root 权限。该脚本修改配置模板，并重建了生效的权限文件。

这种设计至关重要，因为简单重启并不会将其移除。Mandiant 表示，这种持久化机制还可在配置重置后继续存在，从而打破两项常见的恢复假设。

攻击者并未止步于控制设备。他们使用已失陷的管理员凭据进入 Remote Support 管理门户。

他们将 Jump Item 和 Team 权限从“无访问权限”改为“管理员”。Jump Item 代表可通过 BeyondTrust 平台进行远程访问的系统或设备。

这一权限变更为下游端点创建了看似已获授权的访问。攻击者可通过正常支持人员一贯信任的工作流发起远程会话。

Mandiant 观察到一次连接内部端点的会话，以及对 Remote Support 文件传输功能的使用。该行为者从用户桌面环境下载了敏感文档，包括软件清单信息。

该组织还部署了 BARECLAW，这是一款定制隧道工具，可通过 WebSocket 流量建立 SOCKS5 代理。SOCKS5 代理会中继网络连接，并可提供对初始失陷主机之外资源的访问。

攻击者修改设备的 HAProxy 配置，通过面向互联网的请求路径暴露 BARECLAW。HAProxy 是将传入设备流量路由至内部服务的反向代理。

这种安排将隧道工具隐藏在预期的公共服务之后，同时也提供了通过已失陷设备抵达其他网络目标的路径。

因此，BeyondTrust Remote Support 漏洞带来的不只是孤立的设备问题。它将一个受信任的支持控制点变成了凭据窃取、持久化和横向移动的平台。

打补丁并不能移除已存在的攻击者

成功更新可以阻止新的漏洞利用，但无法撤销被盗凭据，也无法清除安装前建立的持久化机制。

这是本文的核心权衡。组织需要迅速打补丁以封堵入口，但速度无法取代在可能暴露后所需开展的调查。

对于受支持的自托管部署，管理员应通过设备界面安装 BT26-05-RS。他们应确认安装已完成，而非假定自动更新已成功完成。

版本早于 24.3.1 的系统必须先升级，才能接收该补丁。升级后还需应用后续安全更新，漏洞才会得到修复。

在利用活动窗口期间可从互联网访问的易受攻击设备，应接受额外审查。Mandiant 建议，在审查证明并非如此之前，将此类系统视为可能已遭入侵。

在重启或重建设备前，应优先保全可疑系统的证据。若运维流程允许，虚拟设备应采集内存和磁盘数据。

硬件设备运营方应与 BeyondTrust 支持团队协调证据保全工作。客户无法独立检查设备主机文件系统中每一处受保护的区域。

外部日志尤为重要，因为调查人员观察到攻击者进行了大规模日志删除。在入侵期间，攻击者删除了系统、应用程序、Web 服务器和凭据工具记录。

安全团队应审查防火墙、Web 应用防火墙、反向代理、身份、端点以及安全信息和事件管理数据。SIEM 可集中收集并关联来自多个系统的安全事件。

BeyondTrust 建议近实时地将设备 syslog 和会话事件发送至外部 SIEM。当攻击者删除本地证据时，设备外的记录仍可供查阅。

值得关注的行为包括来自陌生住宅或商业 VPN 地址的管理员登录。防御人员还应调查 Web 目录中的异常脚本，以及由 Web 服务帐户启动的 shell。

权限变更应受到密切关注，尤其是涉及 Jump Items、Teams、API 帐户或会话策略的修改。每项变更都应对应一项获批准的请求和一名已知管理员。

外部日志转发中断也可能具有重要意义。BeyondTrust 特别强调，在单次管理会话内开始并结束的中断。

已知文件哈希和 YARA 规则可辅助威胁狩猎，但无法提供完全保证。YARA 规则通过定义的模式和条件识别文件或内存内容。

BeyondTrust 表示，该行为者会在不同受害者之间更换基础设施和工具。即使组织未发现任何已公布的指标，也不能证明其设备未受影响。

已确认或尚无法排除的入侵，可能有必要从全新且已完整打补丁的镜像进行重建。当攻击者已获得 root 权限并修改持久化机制时，逐个清理文件的可靠性较低。

凭据轮换必须在遏制或重建之后进行。若攻击者仍控制着设备，轮换密钥可能会立即暴露替换后的凭据。

轮换范围应包括设备管理员、Remote Support 帐户、API 密钥、目录绑定帐户和集成的特权访问凭据，还应涵盖在受影响支持会话期间输入的凭据。

团队必须审查通过该设备访问的下游端点。会话报告和文件传输历史可显示攻击者访问了哪些系统，以及哪些信息从这些系统流出。

一份技术评估同样建议紧急修复，并调查是否存在更早的入侵。该评估警告，仅打补丁并不能清除已建立的持久化机制。

自托管远程访问承担不同的安全负担

该事件揭示了一项基本的运维差异：托管服务可获得集中修复，而自托管设备则取决于数千项本地决策。

BeyondTrust 表示，其 SaaS 客户在公开披露前已获得修复。自托管客户则必须核实其版本、更新路径、自动更新设置以及实际补丁状态。

自托管可让用户直接掌控数据、网络和维护工作，但也将快速修复、监控、证据保全和恢复的更多责任转移给客户。

当远程访问平台支撑关键运营时，这项责任会变得困难。隔离设备可能中断整个组织的服务台工作、供应商支持和远程管理。

攻击者会从这种犹豫中获益。每多花一小时协商停机安排，攻击者就多一小时利用面向互联网系统的机会。

因此，安全团队需要在下一次紧急事件前制定运维计划。该计划应明确谁有权批准隔离、支持工作如何持续，以及取证数据存储在何处。

远程访问设备也会造成风险集中，因为其本身就旨在将外部用户连接至内部系统。它们可能存储凭据、注入密钥、维护端点代理，并代理特权会话。

此类平台一旦遭入侵，可能绕过部署在其他位置的控制措施。恶意会话可能通过获批准的产品传输，并使用与合法管理员关联的权限。

这一模式并非 BeyondTrust 独有。根据 Google 威胁研究人员的说法，ARMORY CASTLE 此前曾利用 Citrix NetScaler 和 Ivanti Connect Secure 漏洞。

这些产品在设计和用途上有所不同，但都处于网络边界这一战略位置。它们处理受信任访问，同时仍可从外部网络访问。

这种组合使边缘系统成为间谍和犯罪行动的反复目标。传统端点工具对主机访问受限的加固设备可能只有有限的可见性。

BeyondTrust 案例还带来了另一项挑战。攻击者在获得管理控制权后，可以利用产品自身的远程会话和文件传输功能。

通过原生功能产生的活动可能看似正常支持工作。因此，检测必须综合考虑身份、时间、源网络、权限变更和相关服务工单。

组织应将管理界面限制为受信任网络或获批准的地址。面向公众的暴露应仅限于客户和支持人员所需的特定服务。

出站网络访问同样值得控制。远程支持设备应仅连接必要的更新、许可证、日志、目录和集成服务。

默认拒绝的出站过滤可限制隧道和命令与控制流量。当设备联系意外目的地时，它也能生成有用的警报。

在支持的情况下，管理访问应要求使用抗钓鱼的多因素身份验证。应尽量减少本地帐户，并保护和监控任何紧急帐户。

这些控制措施不能替代 BT26-05-RS。它们可在漏洞完全绕过第一层身份验证时缩小影响范围。

Privileged Remote Access 客户也需要注意。BeyondTrust 表示，PRA 共享受影响代码，但其测试尚未发现该产品存在可行的利用路径。

该公司发布了预防性的 PRA 补丁，并建议自托管客户安装。这是一项基于风险的建议，并不确认已观察到的攻击通过 CVE-2026-102764 入侵了 PRA。

在紧急响应期间，明确范围至关重要。团队不应将未经验证的 PRA 利用描述为既定事实，但也不应忽视共享的易受攻击代码。

CVE-2026-102764 后防御人员应关注什么

接下来的考验在于，补丁部署是否能快过更广泛的利用，以及调查是否会发现披露前隐藏的入侵。

首要信号是自托管 Remote Support 设备的补丁状态。安全团队应追踪经验证的安装情况，而非仅关注已批准的变更请求或已安排的维护。

暴露设备数量下降，将减少模仿原始攻击活动的攻击者可利用的机会。若未打补丁系统持续暴露在互联网上，则会强化对机会主义利用的预期。

第二个信号是新攻击者行为的出现。Mandiant 记录了 SAWFLY、BARECLAW、权限操纵、日志删除和对支持会话的滥用。

其他组织无需复用完全相同的工具。新的 Webshell、请求路径、帐户或隧道方法，将表明利用活动已超出单一已知操作者的范围。

因此，防御人员应搜寻行为序列，而不能仅依赖精确指标。异常文件创建后紧接着发生权限变更和管理会话，比单一文件名更具持久价值。

第三个信号是取证审查对披露前时期的发现。若发现更多可追溯至 8 月或 9 月的案例，将扩大已知暴露窗口和受影响群体。

这些证据可能会缓慢浮现。设备日志可能不完整，而下游访问可能与正常支持活动混在一起。

组织应在调查持续期间保留相关记录。较短的日志保留期可能抹去区分一次尝试性利用与一次完整网络入侵所需的证据。

该事件还引发了有关自动化警报分流的问题。BeyondTrust 报告称，其传感器检测到了可疑的权限提升，但第三方系统将警报作为误报关闭。

安全团队应保留并定期审查被自动化系统驳回的警报。低置信度结论不应永久将异常设备行为排除在威胁狩猎范围之外。

KEV 目录仍是重要的优先级信号，但不应等到目录纳入后才开始行动。已确认的供应商或事件响应证据，足以在 CISA 发布条目之前采取措施。

同样的原则也适用于打补丁之后。漏洞扫描显示为绿色，只能确认软件已修正，不能证明环境干净。

对于运营 BeyondTrust Remote Support 的组织，立即行动很明确：验证 BT26-05-RS 补丁并记录结果。旧版安装必须先升级，才能接收修复。

接下来，应确定设备在易受攻击期间是否可从外部访问。保全设备外日志，审查管理变更，并将每次可疑支持会话追溯至其下游系统。

若无法排除入侵可能，应让 BeyondTrust 支持团队和事件响应团队参与。重建存在疑点的设备，轮换已暴露凭据，并检查经由设备访问的端点。

BeyondTrust Remote Support 漏洞归根结底是对两种响应速度的考验：一种速度负责修复漏洞，另一种速度负责查明漏洞关闭前发生了什么。

只完成第一项任务的组织，仍会暴露于第二项任务所涉及的后果之中。您的团队是在验证补丁，还是在证明受信任的访问系统始终值得信任？