AnswersPublished20 sources
BeyondTrust-angrep ga tilgang til root og lagrede påloggingsopplysninger
Armory Castle utnyttet CVE 2026 102764, en sårbarhet med alvorlighetsgrad 9,3 som rammet BeyondTrust Remote Support til og med versjon 26.2.3. BeyondTrust slapp en oppdatering 8.
Publisert avRedigert med GPT-6 LunaBilder generert med GPT Image 2
Research answer
Key takeaways
- Armory Castle utnyttet CVE 2026 102764, en sårbarhet med alvorlighetsgrad 9,3 som rammet BeyondTrust Remote Support til og med versjon 26.2.3.
- BeyondTrust slapp en oppdatering 8. oktober 2026 og offentliggjorde sårbarheten 15.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 17, 2026 report reveal about the suspected China-linked espionage group Armory Castle, formerly UNC5221 and also track. Article summary: The available reporting describes a suspected China-linked espionage campaign in which Armory Castle exploited BeyondTrust Remote Support before a patch was available, gaining appliance control and access to credentials . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
En mistenkt Kina-knyttet spionasjegruppe utnyttet en kritisk sårbarhet i BeyondTrust Remote Support før en sikkerhetsoppdatering var tilgjengelig. Ifølge Google og Mandiant fikk angriperne tilgang til berørte enheter, eskalerte rettighetene til root-nivå og nådde påloggingsopplysninger som produktet lagret eller håndterte.1
12
For virksomheter med egne, selvdriftede installasjoner er det derfor ikke nok å installere oppdateringen. De bør også vurdere om enhetene ble kompromittert før feilen ble rettet.12
Hva sårbarheten gjorde mulig
CVE-2026-102764 fikk alvorlighetsgraden 9,3 på CVSS 4.0 og berører uoppdaterte versjoner av BeyondTrust Remote Support 26.2.3 og eldre. Feilen skyldtes mangelfull kontroll av hvor meldinger i en intern komponent kom fra. Dermed kunne en ekstern angriper uten autentisering utgi seg for å være en betrodd komponent og utføre filoperasjoner på enheten.2
3
18
Google og Mandiant opplyser at angriperne brukte sårbarheten til å få tilgang til enheter og oppnå root-rettigheter på vertssystemet. Slik kontroll kan gi tilgang til påloggingsopplysninger produktet lagrer eller formidler, og et utgangspunkt for videre aktivitet i nettverket.1
3
12
Dette vet man om angriperne
Google og Mandiant knytter aktiviteten til den mistenkte aktøren Armory Castle, som tidligere ble sporet under navnet UNC5221.1 Noen sekundærkilder bruker også navnet Warp Panda, men materialet som er tilgjengelig her bekrefter ikke uavhengig at CrowdStrike står bak denne navngivningen.
4
Rapporteringen om etterforskningen omtaler Sawfly, beskrevet som et PHP-basert webskall, og Bareclaw, et verktøy for SOCKS5-tunnellering. Verktøyene passer med den rapporterte aktiviteten: å opprettholde tilgang og legge til rette for videre bevegelse fra den kompromitterte enheten.28
33 Kildene som er tilgjengelige, dokumenterer ikke alle detaljer om operasjonen. Påstander om bestemte stjålne filer eller nøyaktig hvordan data ble hentet ut, bør derfor behandles med varsomhet.
Tidslinje for angrep og oppdatering
Rapporteringen plasserer utnyttelsen i slutten av august 2026, før BeyondTrust offentliggjorde sårbarheten. Én kilde tidfester den første aktiviteten til 29. august og opplyser at et BeyondTrust-vertsbasert miljø og en selvdriftet enhet var berørt.1
19
BeyondTrust slapp en rettelse 8. oktober og opplyste at SaaS-kundene var oppdatert innen 9. oktober. Selskapet offentliggjorde CVE-2026-102764 i sikkerhetsvarselet BT26-05 15. oktober.1
7
For selvdriftede Remote Support-installasjoner i versjon 24.3.1 til 26.2.3 er oppdateringen BT26-05-RS oppgitt som rettelsen. Eldre installasjoner må oppgraderes før denne oppdateringen kan brukes.1
Dette bør virksomheter gjøre
- Sjekk produkt og versjon. Finn ut om virksomheten har en selvdriftet Remote Support-enhet med en uoppdatert versjon 26.2.3 eller eldre. Ikke gå ut fra at en selvdriftet installasjon får samme automatiske oppdatering som SaaS-tjenesten.
1
18
- Installer riktig oppdatering. Følg leverandørens veiledning for versjonen dere bruker, inkludert eventuelle krav om å oppgradere eldre versjoner først.
- Undersøk enheter som kan ha vært eksponert. Google og Mandiant anbefaler at eksponerte, selvdriftede enheter behandles som mulig kompromitterte, sett i lys av rapportert root-tilgang, tilgang til påloggingsopplysninger og risiko for videre inntrenging.
12
- Vurder tilknyttede kontoer og systemer. Når angriperne skal ha nådd opplysninger produktet håndterte og etablert fotfeste for videre aktivitet, bør en gjennomgang omfatte både enheten og systemene eller kontoene den kunne nå.
3
En oppdatering stanser utnyttelse av den kjente sårbarheten, men fastslår ikke i seg selv om enheten ble kompromittert før oppdateringen ble installert. Kildene tilsier derfor at retting og undersøkelse av mulig innbrudd må behandles som to separate tiltak.1
12
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "BeyondTrust-angrep ga tilgang til root og lagrede påloggingsopplysninger"?
Armory Castle utnyttet CVE 2026 102764, en sårbarhet med alvorlighetsgrad 9,3 som rammet BeyondTrust Remote Support til og med versjon 26.2.3.
What are the key points to validate first?
Armory Castle utnyttet CVE 2026 102764, en sårbarhet med alvorlighetsgrad 9,3 som rammet BeyondTrust Remote Support til og med versjon 26.2.3. BeyondTrust slapp en oppdatering 8. oktober 2026 og offentliggjorde sårbarheten 15.