לפי BeyondTrust ו-Google Threat Intelligence, קבוצה בעלת זיקה לסין ניצלה פגיעות Zero-Day ב-BeyondTrust Remote Support כדי לבצע פעולות קבצים בשרתים מקומיים. הפגיעות תוקנה, אבל שרת שהיה חשוף לאינטרנט בגרסה פגיעה נחשב חשוד עד שיבדק.
| מזהה | CVE-2026-102764 |
| מוצר וגרסאות | Remote Support מקומי (Self-hosted), גרסאות 24.3.1 עד 26.2.3; גרסאות ישנות יותר דורשות שדרוג |
| חומרה | CVSS 9.3 (קריטית) |
| מנוצל בפועל | כן, לפי BeyondTrust, מאז 29 באוגוסט 2026 לפחות במכשיר אחד |
| תיקון | SaaS תוקן ב-9 באוקטובר 2026; במקומי יש להתקין את התיקון BT26-05-RS |
מה קרה
הפגיעות נובעת מאימות לא מספק של מקור ההודעות ברכיב תקשורת פנימי, ומאפשרת לתוקף מרוחק לבצע פעולות קבצים על המכשיר. הניצול הידוע הראשון היה ב-29 באוגוסט. ב-27 בספטמבר, לאחר שפורסם ניצול נגד ספק אבטחה אחר, BeyondTrust החלה לחפש פעילות דומה.
הפעילות מיוחסת לקבוצה Armory Castle (נקראת גם UNC5221), קבוצת ריגול שפעילה לפחות מאוקטובר 2023 ונקשרה בעבר לפגיעויות Zero-Day ב-NetScaler וב-Ivanti. לפי BeyondTrust, הקבוצה נוהגת לנצל Zero-Day באופן ממוקד, ורק אחרי שהפגיעות פומבית מתחיל ניצול רחב נגד מערכות שלא עודכנו.
נקודות לשים לב
- בשרת מקומי בגרסאות 24.3.1 עד 26.2.3 התקן ידנית את BT26-05-RS; בגרסה ישנה יותר שדרג לגרסה עדכנית. לקוחות SaaS כבר מעודכנים.
- אם המכשיר היה חשוף לאינטרנט בגרסה פגיעה, התייחס אליו כאל פרוץ אפשרי עד לבדיקה מלאה, כפי ש-Mandiant ממליצה.
- חפש ארטיפקטים שדווחו: קובץ
/usr/bin/dbus-authdשהוא עותק של ה-shell עם SUID, שינוי ב-/ns/config/haproxy.conf, ושימוש חריג ב-/ns/sbin/bt-secrets. - החלף אישורים שנשמרו במכשיר ובדוק מערכות שאליהן ניתן להגיע דרך רשימת ה-Jump Item.
- התוקפים מחקו לוגים של המערכת, של שרת הווב ושל האפליקציה, ולכן היעדר ממצאים בלוגים אינו הוכחה לניקיון.
מקורות: BeyondTrust Advisory BT26-05 · Google Threat Intelligence · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
