На 15 октомври BeyondTrust публикува бюлетин BT26-05 за CVE-2026-102764, дупка в Remote Support, която при определени условия дава операции с файлове върху устройството. По данни на компанията е използвана на 29 август срещу двама клиенти, а производителят предупреждава, че след обявата групата обикновено минава към масови атаки срещу всеки необновен екземпляр.
- 15 октомври 2026: BeyondTrust обяви бюлетин BT26-05 и CVE-2026-102764 (CVSS-B 9.3, критична) в Remote Support. По описанието в NVD компонентите не са проверявали достатъчно откъде идват съобщенията и при определени условия нападател може да прави операции с файлове върху устройството.
- По данни на BeyondTrust нулевият ден е използван на 29 август срещу един хостван от нея екземпляр и един самостоятелно хостван уред. Поправката е от 8 октомври, облачните екземпляри са обновени автоматично. Компанията знае само за тези двама клиенти.
- BeyondTrust оценява с умерена до висока увереност, че става дума за група с връзки към Китай, която Google и Mandiant следят като UNC5221. CISA вписа дупката в каталога KEV на 16 октомври със срок 19 октомври.
Нападателят е влязъл на 29 август. Поправката дойде 40 дни по-късно, на 8 октомври. Обявата - още седем дни след нея.
Така подрежда нещата самата BeyondTrust. На 29 август групата използвала нулев ден срещу един екземпляр на Remote Support, хостван от компанията, и един самостоятелно хостван уред. Следите са открити на 28 септември при лов на заплахи, а облачният екземпляр е изолиран за 27 минути от първото откриване.
Групата пази нулевия ден за подбрани цели. Щом дупката стане публична, по думите на BeyondTrust тя обикновено минава към масови атаки срещу всеки необновен екземпляр. Mandiant, пак според BeyondTrust, предупреждава да се очаква същото и тук.
BeyondTrust признава и неприятна подробност за собствената си защита. По нейно описание сензорите са задействали алармите, когато нападателят е вдигнал правата си, но автоматичният триаж в платформа на външен доставчик ги е затворил като фалшиви. Всеки, който е пускал хора през врата, знае защо пред алармата стои филтър: иначе звъни за всичко. Тук филтърът е изхвърлил точно истинската.
Mandiant публикува свой анализ същия ден. Тук не го преразказвам, защото не съм го отварял. Кои са двамата клиенти и как точно става атаката, BeyondTrust също не казва.
BT26-05 е първата работа днес за всеки, който държи Remote Support или Privileged Remote Access на собствен сървър; облачните екземпляри вече са обновени. После дневниците. Изпращай ги извън уреда, защото по думите на BeyondTrust групата трие локалните и копието навън често е единственото, което остава.