BeyondTrust Remote Support: Seit August ausgenutzte Zero-Day-Lücke erlaubt die Übernahme der Appliance ohne Konto

BeyondTrust hat CVE-2026-102764 behoben, eine kritische Lücke in Remote Support, über die ein Angreifer ohne Konto Dateioperationen auf der Appliance ausführen kann. Laut Google und Mandiant nutzt eine mutmaßlich China-nahe Spionagegruppe sie seit Ende August, um gespeicherte Zugangsdaten zu stehlen; CISA setzte US-Behörden eine Frist bis zum 19. Oktober.

Was geschah

BeyondTrust hat CVE-2026-102764 behoben, eine Lücke in internen Nachrichtenkomponenten von Remote Support, dem früher als Bomgar vertriebenen Fernwartungsprodukt. Diese Komponenten prüften die Herkunft empfangener Nachrichten nicht ausreichend, sodass ein Angreifer ohne Konto Dateioperationen auf der Appliance ausführen kann. NIST bewertet sie mit 9,8 (CVSS 3.1), BeyondTrust mit 9,3 nach CVSS 4.0. Laut Google Threat Intelligence Group und Mandiant nutzt eine mutmaßlich China-nahe Spionagegruppe, die sie ARMORY CASTLE nennen (früher UNC5221), die Lücke seit Ende August 2026 als Zero-Day aus. CISA nahm sie am 16. Oktober in ihren Katalog ausgenutzter Schwachstellen auf, mit einer Frist bis zum 19. Oktober für US-Bundesbehörden.

Wie die Angreifer vorgingen

Mandiant beschreibt eine auf der Appliance abgelegte Webshell, einen SOCKS-Tunnel über WebSocket, der über eine geänderte HAProxy-Konfiguration erreichbar war, eine Root-Shell und ein Startskript, das Neustarts und das Zurücksetzen der Konfiguration übersteht. Anschließend lasen die Angreifer alle im Tresor von Remote Support gespeicherten Geheimnisse aus (Passwörter, API-Schlüssel), erweiterten die Rechte eines kompromittierten Administrators, gelangten über Support-Sitzungen auf interne Rechner und löschten Protokolle.

Was jetzt zu tun ist

1. Selbst betriebene Appliances: Alle Versionen bis 26.2.3 sind betroffen. Ab 24.3.1 den Patch BT26-05-RS über die Oberfläche /appliance einspielen; ältere Versionen müssen zuerst auf eine unterstützte Version wechseln.
2. SaaS-Kunden: BeyondTrust hat die Cloud-Instanzen am 9. Oktober gepatcht, der Zeitraum davor rechtfertigt dennoch die folgenden Prüfungen.
3. Zugriff einschränken: /login und /appliance nur für bekannte Adressen freigeben oder hinter ein VPN stellen.
4. Nach Spuren suchen: Rollenänderungen bei Jump Items oder Teams, neue API-Konten oder Security Provider, ungewöhnliche Dateiübertragungen, unbekannte .php-Pfade, Lücken im weitergeleiteten Syslog; mit den von Google veröffentlichten Indikatoren abgleichen.
5. Geheimnisse erneuern nach dem Patch: Appliance- und Administratorkonten, API-Secrets, SAML-Schlüssel, danach alle im Tresor gespeicherten Zugangsdaten.

Unsere Einschätzung

Eine Fernwartungs-Appliance hält die Schlüssel zu allen Rechnern, die sie erreicht: Ihre Übernahme ist mehr wert als jeder einzelne Server. Sie muss innerhalb von Stunden gepatcht, möglichst vom offenen Internet ferngehalten werden, und ihre Protokolle gehören auf ein anderes System, damit ein Eindringling sie nicht löschen kann.

Quellen

• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-102764
• NIST NVD — CVE-2026-102764
• Google Threat Intelligence Group — ARMORY CASTLE exploits BeyondTrust CVE-2026-102764
• The Record — China-linked hackers exploited BeyondTrust zero-day

Wie wir unsere Analysen auswählen, prüfen und schreiben →