AnswersPublished20 sources
BeyondTrust-zero-day gaf Armory Castle roottoegang en toegang tot inloggegevens
Armory Castle misbruikte CVE 2026 102764, een kwetsbaarheid met een CVSS score van 9,3 in BeyondTrust Remote Support versies tot en met 26.2.3. BeyondTrust bracht op 8 oktober een patch uit en maakte de kwetsbaarheid op 15 oktober bekend.
Gepubliceerd doorBewerkt met GPT-6 LunaAfbeeldingen gegenereerd met GPT Image 2
Research answer
Key takeaways
- Armory Castle misbruikte CVE 2026 102764, een kwetsbaarheid met een CVSS score van 9,3 in BeyondTrust Remote Support versies tot en met 26.2.3.
- BeyondTrust bracht op 8 oktober een patch uit en maakte de kwetsbaarheid op 15 oktober bekend.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 17, 2026 report reveal about the suspected China-linked espionage group Armory Castle, formerly UNC5221 and also track. Article summary: The available reporting describes a suspected China-linked espionage campaign in which Armory Castle exploited BeyondTrust Remote Support before a patch was available, gaining appliance control and access to credentials . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Een vermoedelijk aan China gelieerde spionagegroep misbruikte een ernstige kwetsbaarheid in BeyondTrust Remote Support voordat er een patch beschikbaar was. Volgens Google en Mandiant kregen de aanvallers toegang tot apparaten, verhoogden ze hun rechten tot rootniveau en konden ze inloggegevens bereiken die het product opslaat of verwerkt. De belangrijkste les: alleen updaten is mogelijk niet genoeg. Organisaties met een zelfbeheerd apparaat dat aan internet blootgesteld was, moeten ook onderzoeken of het is binnengedrongen.1
12
Wat de kwetsbaarheid mogelijk maakte
CVE-2026-102764 kreeg een CVSS 4.0-score van 9,3 en treft niet-gepatchte versies van BeyondTrust Remote Support tot en met 26.2.3. De fout zat in een intern onderdeel dat de herkomst van berichten onvoldoende controleerde. Daardoor kon een externe aanvaller zonder authenticatie zich voordoen als een vertrouwd onderdeel en bestandsbewerkingen uitvoeren op een apparaat.2
3
18
Google en Mandiant melden dat de aanvallers de kwetsbaarheid gebruikten om toegang te krijgen en hun rechten te verhogen tot rootniveau op het apparaat. Die controle kan toegang geven tot inloggegevens die het product opslaat of doorgeeft, en een startpunt vormen voor verdere activiteiten binnen het netwerk.1
3
12
Wat bekend is over de aanvallers
Google en Mandiant schrijven de vermoedelijke aanvallen toe aan Armory Castle, een groep die eerder werd gevolgd onder de naam UNC5221.1 Enkele andere publicaties gebruiken ook de naam Warp Panda, maar de beschikbare bronnen bevestigen niet onafhankelijk dat CrowdStrike die naam voor de groep gebruikt.
4
In berichtgeving over het onderzoek worden Sawfly, een PHP-webshell, en Bareclaw, een SOCKS5-tunnelingtool, genoemd. Zulke hulpmiddelen kunnen helpen om toegang te behouden en vanuit het gecompromitteerde apparaat verder te komen.28
33 De beschikbare informatie bevestigt niet alle details die over de campagne circuleren. Claims over specifieke gestolen bestanden of de precieze methode van gegevensdiefstal zijn daarom niet met zekerheid vast te stellen.
Van eerste misbruik tot patch
Volgens de berichtgeving begon het misbruik eind augustus 2026, voordat BeyondTrust de kwetsbaarheid openbaar maakte. Een bron noemt 29 augustus als datum van de eerste activiteit en meldt aanvallen op een BeyondTrust-gehoste omgeving en een zelfbeheerd apparaat.1
19
BeyondTrust bracht de oplossing uit op 8 oktober en meldde dat de SaaS-omgevingen uiterlijk 9 oktober waren gepatcht. Op 15 oktober maakte het bedrijf CVE-2026-102764 openbaar in beveiligingsadvies BT26-05.1
7 Voor zelfbeheerde Remote Support-versies 24.3.1 tot en met 26.2.3 noemt de berichtgeving patch BT26-05-RS. Oudere installaties moeten eerst worden bijgewerkt naar een geschikte versie voordat de patch kan worden toegepast.
1
Wat organisaties nu kunnen doen
- Controleer product en versie. Ga na of een zelfbeheerd Remote Support-apparaat versie 26.2.3 of ouder draaide zonder de beveiligingspatch. Ga er niet van uit dat een zelfbeheerde installatie automatisch de SaaS-update heeft ontvangen.
1
18
- Pas de juiste oplossing toe. Volg de patchinstructies van BeyondTrust voor de geïnstalleerde versie. Voor oudere versies kan eerst een upgrade nodig zijn.
- Onderzoek of blootgestelde apparaten zijn gecompromitteerd. Volgens berichtgeving over het advies van Google en Mandiant moeten organisaties blootgestelde zelfbeheerde apparaten als mogelijk gecompromitteerd beschouwen, gezien de gemelde roottoegang, toegang tot inloggegevens en het risico op verdere toegang.
12
- Neem gekoppelde accounts en systemen mee. Omdat de aanvallers volgens de berichtgeving inloggegevens konden bereiken en een uitvalsbasis voor verdere toegang konden creëren, moet een onderzoek niet alleen het apparaat omvatten, maar ook accounts en systemen waartoe het toegang bood.
3
Een patch voorkomt misbruik van de bekende kwetsbaarheid, maar vertelt op zichzelf niet of een apparaat vóór de update al is benaderd. Patchen en onderzoek naar mogelijke compromittering zijn daarom twee afzonderlijke stappen.1
12
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "BeyondTrust-zero-day gaf Armory Castle roottoegang en toegang tot inloggegevens"?
Armory Castle misbruikte CVE 2026 102764, een kwetsbaarheid met een CVSS score van 9,3 in BeyondTrust Remote Support versies tot en met 26.2.3.
What are the key points to validate first?
Armory Castle misbruikte CVE 2026 102764, een kwetsbaarheid met een CVSS score van 9,3 in BeyondTrust Remote Support versies tot en met 26.2.3. BeyondTrust bracht op 8 oktober een patch uit en maakte de kwetsbaarheid op 15 oktober bekend.