BeyondTrust dicht kritieke kwetsbaarheid in Remote Support; zeroday actief misbruikt

BeyondTrust heeft een ernstig lek in Remote Support (RS) gerepareerd. Het gaat om CVE-2026-102764, met een CVSSv4-score van 9,3. De fout raakt alle RS-versies tot en met 26.2.3. Kern van het probleem: onvoldoende validatie van de herkomst van interne berichten, waardoor een aanvaller op afstand – zonder in te loggen – bestanden op een kwetsbare appliance kan plaatsen of wijzigen. Dat opent de deur naar manipulatie, persistente toegang en mogelijk verdere compromittering van het netwerk waar de appliance draait. (beyondtrust.com)

Volgens BeyondTrust is het lek in de praktijk als zeroday misbruikt. Het bedrijf koppelt de activiteit aan ARMORY CASTLE (voorheen gevolgd als UNC5221), een spionagegroep met vermoedelijke banden met China. Uit het incidentverhaal blijkt dat de actor het lek op 29 augustus 2026 gebruikte bij één door BeyondTrust gehoste RS‑instantie én één self‑hosted appliance. Op 8 oktober 2026 kwam de patch beschikbaar; op 15 oktober volgde de gecoördineerde openbaarmaking. Mandiant en Google Threat Intelligence publiceerden gelijktijdig hun analyse en bevestigen het zeroday‑misbruik. (beyondtrust.com)

Wat is er precies gefikst?

• De kwetsbaarheid zat in interne messaging‑componenten die berichten onvoldoende op herkomst controleerden (CWE‑290: Improper Origin Validation). Daardoor kon een aanvaller bestandshandelingen op de appliance uitvoeren. BeyondTrust heeft validaties aangescherpt en aanvullende controles toegevoegd. (beyondtrust.com)

Wie is geraakt en welke updates zijn er?

• Aangetaste versies: alle Remote Support‑releases t/m 26.2.3. (beyondtrust.com)
• SaaS‑klanten: BeyondTrust heeft op 9 oktober 2026 automatisch gepatcht; geen extra actie nodig. (beyondtrust.com)
• Self‑hosted: installeer de BT26‑05‑RS‑patch (beschikbaar voor v24.3.1 t/m v26.2.3). Draai je ouder dan 24.3.1, upgrade dan eerst naar een ondersteunde versie. (beyondtrust.com)
• Privileged Remote Access (PRA): technische details wijzen vooralsnog niet op een werkbare exploit in PRA, maar omdat code wordt gedeeld, is uit voorzorg ook een patch vrijgegeven. (beyondtrust.com)

Waarom dit ertoe doet
Edge‑ en remote‑access‑appliances zijn geliefde doelwitten voor geavanceerde actoren: ze staan vaak aan de rand van het netwerk, hebben toegang tot beheersessies en bevatten gevoelige geheimen (zoals service‑accounts en API‑sleutels). Mandiant en Google TI beschrijven hoe ARMORY CASTLE na initiële toegang snel privileges verhoogt, webshells en tunneling inzet en sporen wist — een patroon dat we de afgelopen jaren ook bij andere leveranciers zagen. (cloud.google.com)

Snelle actiepunten voor beheerders

• Patch nu. Controleer of je RS‑appliance(s) de BT26‑05‑RS‑update draaien. (beyondtrust.com)
• Beperk blootstelling. Publiceer alleen wat absoluut nodig is en zet admin‑interfaces achter vertrouwde netwerken of een ZTNA‑gateway. (beyondtrust.com)
• Exporteer logs off‑box. Laat syslog en sessielogs direct naar je SIEM gaan; lokale logs kunnen door aanvallers worden verwijderd. (beyondtrust.com)
• Hunt gericht. Zoek naar onbekende beheer­sessies, nieuwe of gewijzigde scripts in webmappen, verdachte wijzigingen aan rechten/policies en onverklaarbare log‑gaten. (beyondtrust.com)
• Rotate secrets. Bij enige indicatie van misbruik: alle door de appliance beheerde credentials roteren en afwijkend gebruik monitoren. (beyondtrust.com)

Context: eerder dit jaar
Begin 2026 speelde al een ander kritiek RS/PRA‑lek (CVE‑2026‑1731, CVSS 9,9) met pre‑auth RCE‑impact. Onderzoekers zagen dat ook dit gat in het wild werd aangevallen. Het illustreert hoe aantrekkelijk remote‑support‑oplossingen zijn als startpunt voor een bredere inbraakketen. (beyondtrust.com)

Praktisch vervolg

• Verifieer je versie en patchstatus in de officiële BT26‑05‑advisory en volg de stappen voor jouw deploymentmodel. Raadpleeg zo nodig ook het CVE‑ en NVD‑record voor technische referenties en tooling die CVE‑bewustzijn in je processen borgt. (beyondtrust.com)

Kortom: als je Remote Support zelf host, dan is vandaag patchen en je forensische hygiëne op orde brengen het verschil tussen “net op tijd” en een dure cleanup. De klok tikte al sinds 29 augustus; zorg dat jij niet de volgende bent. (beyondtrust.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.