أصلحت BeyondTrust الثغرة الحرجة CVE-2026-102764 في Remote Support، والتي تتيح لمهاجم لا يملك حسابًا إجراء عمليات على الملفات في الجهاز. وبحسب Google وMandiant، تستغلها مجموعة تجسس يُشتبه في ارتباطها بالصين منذ أواخر أغسطس لسرقة بيانات الدخول المخزنة، فيما منحت CISA الوكالات الأمريكية مهلة حتى 19 أكتوبر.
ماذا حدث
أصلحت BeyondTrust الثغرة CVE-2026-102764 في مكونات المراسلة الداخلية لمنتج Remote Support، أداة الدعم عن بُعد التي كانت تُباع سابقًا باسم Bomgar. لم تكن هذه المكونات تتحقق جيدًا من مصدر الرسائل التي تتلقاها، ما يسمح لمهاجم لا يملك حسابًا بإجراء عمليات على الملفات في الجهاز. ويمنحها NIST درجة 9.8 (CVSS 3.1)، وBeyondTrust درجة 9.3 وفق CVSS 4.0. وبحسب Google Threat Intelligence Group وMandiant، تستغلها مجموعة تجسس يُشتبه في ارتباطها بالصين، يسمّيانها ARMORY CASTLE (سابقًا UNC5221)، كثغرة يوم الصفر منذ أواخر أغسطس 2026. وأضافتها CISA في 16 أكتوبر إلى فهرس الثغرات المستغلة، مع مهلة حتى 19 أكتوبر للوكالات الفدرالية.
كيف تصرّف المهاجمون
تصف Mandiant صدفة ويب (web shell) زُرعت على الجهاز، ونفق SOCKS عبر WebSocket أصبح متاحًا بتعديل إعدادات HAProxy، وصدفة بصلاحيات root، وسكربت إقلاع يصمد أمام إعادة التشغيل وإعادة ضبط الإعدادات. بعد ذلك استخرج المهاجمون كل الأسرار المخزنة في خزنة Remote Support (كلمات المرور ومفاتيح API)، ورفعوا صلاحيات مسؤول مخترق، واستخدموا جلسات الدعم للوصول إلى أجهزة داخلية، ثم حذفوا السجلات.
ماذا تفعل الآن
- الأجهزة المستضافة ذاتيًا: جميع الإصدارات حتى 26.2.3 متأثرة. ابتداءً من 24.3.1، ثبّت التصحيح
BT26-05-RSمن واجهة/appliance؛ أما الإصدارات الأقدم فيجب نقلها أولًا إلى إصدار مدعوم. - عملاء SaaS: صحّحت BeyondTrust النسخ السحابية في 9 أكتوبر، لكن فترة التعرض تستدعي مع ذلك إجراء الفحوص التالية.
- قيّد الوصول إلى
/loginو/applianceبعناوين معروفة أو ضعهما خلف VPN. - ابحث عن آثار: تغييرات الأدوار على Jump Items أو الفرق، وحسابات API أو مزودي أمان جدد، وعمليات نقل ملفات غير معتادة، ومسارات
.phpمجهولة، وفجوات في syslog المُحوَّل؛ وقارنها بالمؤشرات التي نشرتها Google. - جدّد الأسرار بعد التصحيح: حسابات الجهاز والمسؤولين، وأسرار API، ومفاتيح SAML، ثم جميع بيانات الدخول المخزنة في الخزنة.
رأينا
يحمل جهاز الدعم عن بُعد مفاتيح كل الأجهزة التي يصل إليها: السيطرة عليه أثمن من أي خادم منفرد. يجب تصحيحه خلال ساعات، وإبعاده قدر الإمكان عن الإنترنت المفتوح، وإرسال سجلاته إلى نظام آخر حتى لا يتمكن متسلل من حذفها.
المصادر
- CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-102764
- NIST NVD — CVE-2026-102764
- Google Threat Intelligence Group — ARMORY CASTLE exploits BeyondTrust CVE-2026-102764
- The Record — China-linked hackers exploited BeyondTrust zero-day
كيف نختار تحليلاتنا ونتحقق منها ونكتبها ←
هل خادمك مكشوف؟ أجرِ فحصًا مجانيًا — معلومات عامة فقط، دون اختراق:
هل تخشون أن تكون خوادمكم مكشوفة؟ يقوم فريقنا بتدقيق البنى التحتية Linux والسحابية وتحديثها ومراقبتها على مدار الساعة.
تحدّث إلى خبير خدماتنا لإدارة الخوادم ←
