Redaktionelle Analyse · Primärquellen

BeyondTrust-Remote-Support-Zero-Day ermöglichte privilegierten Folgezugriff

BeyondTrust und Mandiant legten offen, dass CVE-2026-102764 am 29. August 2026 als Zero-Day gegen eine gehostete Remote-Support-Instanz und eine selbst betriebene Appliance ausgenutzt wurde. Die Offenlegung erfolgte am 15. Oktober; CISA veröffentlichte am 16. Oktober eine Warnung.

Ereignis: 2026-08-29 · Bekanntgabe: 2026-10-15
Aktualisiert: 2026-10-17T06:04:10.182Z · Vertrauen: high

Bestätigte Fakten

CVE-2026-102764 ist eine kritische Schwachstelle bei der Herkunftsvalidierung und betrifft BeyondTrust Remote Support bis einschließlich Version 26.2.3. Laut BeyondTrust wurden am 29. August eine gehostete Instanz und eine selbst betriebene Appliance ausgenutzt; nach August wurde keine weitere Angreiferaktivität beobachtet. Der Anbieter veröffentlichte am 8. Oktober Patches, spielte sie bis 9. Oktober im SaaS ein und legte den Fehler am 15. Oktober offen. [1][2] CISA warnte am 16. Oktober vor der aktiv ausgenutzten Lücke. [4]

Auswirkungen der Intrusion

Mandiant beobachtete Datei-Uploads, eine Webshell, Rechteausweitung, persistente Host-Kontrolle, versuchte Entnahme aus dem Zugangsdaten-Tresor, Protokolllöschung und die Nutzung kompromittierter Administratorrechte für den Zugriff auf nachgelagerte Endpunkte. [3] BeyondTrust erklärt, dass gespeicherte Geheimnisse und privilegierte Fernzugriffsbeziehungen angegriffen wurden. [2] Dies ist eine bestätigte Angriffskette, nicht nur ein Hinweis auf ein verwundbares Produkt.

Wer die Exposition prüfen sollte

Betreiber selbst gehosteter Remote-Support-Systeme müssen Produktversion und BT26-05-Patchstand prüfen; Versionen vor 24.3.1 benötigen zuerst ein Upgrade. SaaS-Appliances wurden vom Anbieter gepatcht, dennoch müssen Organisationen die mögliche Offenlegung von Zugangsdaten und Konfigurationen im Vorpatch-Zeitraum bewerten. BeyondTrust veröffentlichte wegen gemeinsam genutzten Codes vorsorglich auch einen Privileged-Remote-Access-Patch, erklärt aber, interne Tests hätten dort keine Ausnutzbarkeit durch diese Lücke gezeigt. [1][2]

Auswirkungen auf Auftrag und Governance

Eine Remote-Support-Appliance ist eine Steuerungsebene für privilegierten Zugriff und Servicekontinuität. Ihre Kompromittierung kann legitime Supportkanäle in Zugriffswege zu verwalteten Endpunkten verwandeln. CISOs sollten Security, Service Desk, Identity und Infrastruktur gemeinsam verantwortlich machen und klare Befugnisse für Isolationsentscheidungen festlegen, auch wenn der Support dadurch unterbrochen wird.

Reaktionsprioritäten

Sofort patchen und die Installation bestätigen. Appliance-Abbilder sowie externe Firewall-, Proxy-, Sitzungs- und SIEM-Protokolle vor Isolation oder Neuaufbau sichern, da der beobachtete Akteur lokale Spuren löschte. Über das Internet erreichbare verwundbare Appliances bis zur Prüfung als potenziell kompromittiert behandeln; bestätigte oder unklare Fälle aus einem sauberen Image neu aufbauen. Vermittelte Zugangsdaten, API-Geheimnisse, Signaturschlüssel und Support-Token erst nach Patch oder Neuaufbau rotieren und danach erreichte Folgesysteme untersuchen. [2][3] Diese beweissichernde Reihenfolge verbindet Reaktion und Wiederherstellung mit dem Risikomanagement. [5]

Zuschreibung und offene Fragen

BeyondTrust bewertet mit mittlerer bis hoher Zuversicht und Google schreibt mit hoher Zuversicht die beobachtete Aktivität dem Akteur ARMORY CASTLE zu. [2][3] Dies ist die Zuschreibung der Quellen, keine unabhängige Feststellung. Öffentlich sind zwei betroffene Kunden belegt, jedoch keine breitere Kompromittierung nach der Offenlegung; diese bleibt ein Risikoszenario.

Quellen

Francisco Javier Jurado Alonso