AnswersPublished19 sources
BeyondTrusts noll-dagarslucka gav angripare rootåtkomst
Armory Castle utnyttjade CVE 2026 102764, en sårbarhet med CVSS poängen 9,3 i BeyondTrust Remote Support till och med version 26.2.3. BeyondTrust släppte en patch den 8 oktober och offentliggjorde sårbarheten den 15 oktober 2026.
Publicerad avRedigerad med GPT-6 LunaBilder genererade med GPT Image 2
Research answer
Key takeaways
- Armory Castle utnyttjade CVE 2026 102764, en sårbarhet med CVSS poängen 9,3 i BeyondTrust Remote Support till och med version 26.2.3.
- BeyondTrust släppte en patch den 8 oktober och offentliggjorde sårbarheten den 15 oktober 2026.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 17, 2026 report reveal about the suspected China-linked espionage group Armory Castle, formerly UNC5221 and also track. Article summary: The available reporting describes a suspected China-linked espionage campaign in which Armory Castle exploited BeyondTrust Remote Support before a patch was available, gaining appliance control and access to credentials . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
En misstänkt Kinaanknuten spionagegrupp utnyttjade en kritisk sårbarhet i BeyondTrust Remote Support innan någon säkerhetsuppdatering fanns tillgänglig. Angriparna tog sig in i berörda installationer, höjde sina behörigheter till rootnivå och nådde inloggningsuppgifter som produkten lagrade eller hanterade. Den viktiga lärdomen är att installera uppdateringen – men också att undersöka om en egen, exponerad installation redan hann komprometteras.1
12
Vad sårbarheten gjorde möjligt
CVE-2026-102764 fick 9,3 av 10 i CVSS 4.0 och berör ouppdaterade versioner av BeyondTrust Remote Support 26.2.3 och äldre. Felet handlade om att en intern komponent inte kontrollerade meddelandenas ursprung tillräckligt noggrant. En oautentiserad angripare kunde därmed utge sig för att vara en betrodd komponent och utföra filoperationer på enheten.2
3
18
Google och Mandiant uppger att angriparna utnyttjade felet för att komma åt enheter och höja sina behörigheter till rootnivå på värdsystemet. En sådan kontroll kan ge åtkomst till inloggningsuppgifter som produkten lagrar eller förmedlar, och skapa en språngbräda för vidare aktivitet i nätverket.1
3
12
Det utredarna berättar om angriparna
Google och Mandiant pekar ut den misstänkta aktören som Armory Castle, tidigare spårad under namnet UNC5221.1 Rapportering om undersökningen nämner verktygen Sawfly, beskrivet som ett PHP-baserat webbskal, och Bareclaw, ett verktyg för SOCKS5-tunnling. Verktygen stämmer med den övergripande beskrivningen av aktivitet för att behålla åtkomst och ta sig vidare från den komprometterade enheten.
28
33
Det tillgängliga underlaget fastslår inte alla detaljer om angreppskampanjen. Påståenden om exakt vilka filer som stals eller hur data fördes ut bör därför behandlas med försiktighet.
Angrepp och uppdatering: tidslinjen
Rapporteringen placerar angreppen i slutet av augusti 2026, innan BeyondTrust offentliggjorde sårbarheten. En källa anger den 29 augusti som startdatum och uppger att angreppen berörde en BeyondTrust-hostad instans och en egenhanterad installation.1
19
BeyondTrust släppte en åtgärd den 8 oktober och uppgav att dess SaaS-kunder hade fått uppdateringen senast den 9 oktober. Sårbarheten offentliggjordes den 15 oktober i säkerhetsrådgivningen BT26-05.1
7
För egenhanterade Remote Support-installationer i versionerna 24.3.1–26.2.3 anges patchen BT26-05-RS. Äldre installationer behöver uppgraderas innan patchen kan tillämpas.1
Vad organisationer bör göra
- Kontrollera produkt och version. Ta reda på om någon egenhanterad Remote Support-enhet körde en ouppdaterad version 26.2.3 eller äldre. Utgå inte från att en egen installation fått samma automatiska uppdatering som SaaS-tjänsten.
1
18
- Installera rätt åtgärd. Följ leverantörens anvisningar för den installerade versionen, inklusive eventuell uppgraderingsväg för äldre versioner.
- Undersök om exponerade system har komprometterats. Google och Mandiants rapportering rekommenderar att exponerade, egenhanterade enheter behandlas som potentiellt komprometterade, mot bakgrund av den rapporterade rootåtkomsten, åtkomsten till inloggningsuppgifter och risken för vidare intrång.
12
- Granska inloggningsuppgifter och anslutna system. Eftersom angriparna enligt rapporteringen kom åt uppgifter som produkten hanterade och skapade fästen för vidare rörelse i nätverket bör granskningen omfatta både enheten och de konton och system den kunde nå.
3
En uppdatering stoppar utnyttjandet av den kända sårbarheten, men visar inte i sig om enheten hann angripas innan den åtgärdades. Uppdatering och kontroll av eventuell kompromettering är därför två separata steg.1
12
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "BeyondTrusts noll-dagarslucka gav angripare rootåtkomst"?
Armory Castle utnyttjade CVE 2026 102764, en sårbarhet med CVSS poängen 9,3 i BeyondTrust Remote Support till och med version 26.2.3.
What are the key points to validate first?
Armory Castle utnyttjade CVE 2026 102764, en sårbarhet med CVSS poängen 9,3 i BeyondTrust Remote Support till och med version 26.2.3. BeyondTrust släppte en patch den 8 oktober och offentliggjorde sårbarheten den 15 oktober 2026.