AnswersPublished20 sources
BeyondTrust açığı: Armory Castle cihazlarda root erişimine ulaştı
Armory Castle, CVSS 4.0’a göre 9,3 puan alan CVE 2026 102764 açığını BeyondTrust Remote Support’un 26.2.3 ve önceki sürümlerinde yama yayımlanmadan önce kullandı; saldırganların root erişimine ve kimlik bilgilerine ul... BeyondTrust yamayı 8 Ekim 2026’da yayımladı, açığı ise 15 Ekim’de duyurdu.
YayımlayanGPT-6 Luna ile düzenlendiGörseller GPT Image 2 ile oluşturuldu
Research answer
Key takeaways
- Armory Castle, CVSS 4.0’a göre 9,3 puan alan CVE 2026 102764 açığını BeyondTrust Remote Support’un 26.2.3 ve önceki sürümlerinde yama yayımlanmadan önce kullandı; saldırganların root erişimine ve kimlik bilgilerine ul...
- BeyondTrust yamayı 8 Ekim 2026’da yayımladı, açığı ise 15 Ekim’de duyurdu. Kendi sunucularında kurulum yapan müşterilerin sürümlerini doğrulaması ve internete açık cihazlarda olası ihlali araştırması gerekiyor.[1][7][12]
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 17, 2026 report reveal about the suspected China-linked espionage group Armory Castle, formerly UNC5221 and also track. Article summary: The available reporting describes a suspected China-linked espionage campaign in which Armory Castle exploited BeyondTrust Remote Support before a patch was available, gaining appliance control and access to credentials . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Google ve Mandiant’ın aktardığına göre, Çin bağlantılı olduğu düşünülen Armory Castle adlı casusluk grubu, BeyondTrust Remote Support’taki kritik bir açığı yama yayımlanmadan önce kullandı. Saldırganlar etkilenen cihazlarda yetkilerini yükselterek sistem düzeyinde root erişimi elde etti ve ürünün sakladığı ya da yönettiği kimlik bilgilerine ulaşmış olabilir.1
12
Bu nedenle güncelleme yüklemek önemli olsa da tek başına yeterli olmayabilir. Özellikle kendi sunucularında çalışan, internete açık Remote Support cihazlarına sahip kurumların olası bir ihlali ayrıca değerlendirmesi gerekiyor.
Açık saldırganlara ne sağladı?
CVE-2026-102764, CVSS 4.0 ölçeğinde 9,3 puan aldı. Güvenlik yaması bulunmayan 26.2.3 ve önceki BeyondTrust Remote Support sürümleri etkileniyor. Sorun, ürünün dahili bir bileşeninin mesajların nereden geldiğini yeterince doğrulamamasından kaynaklanıyor. Böylece kimliği doğrulanmamış bir uzaktaki saldırgan, güvenilir bir bileşeni taklit ederek cihazda dosya işlemleri yapabiliyordu.2
3
18
Google ve Mandiant, saldırganların bu açıkla cihazlara eriştiğini ve yetkilerini yükselterek ana bilgisayarda root düzeyinde kontrol sağladığını bildiriyor. Bu erişim, ürünün sakladığı veya aktardığı kimlik bilgilerini açığa çıkarabilir; ayrıca saldırganlara kurum ağı içinde ilerlemek için bir başlangıç noktası sunabilir.1
3
12
Saldırganlar ve kullanılan araçlar
Google ve Mandiant, şüpheli aktörü daha önce UNC5221 adıyla izlenen Armory Castle olarak tanımlıyor.1 Bazı ikincil haberlerde grup için Warp Panda adı da kullanılıyor; ancak eldeki kaynaklar bu izleme adının CrowdStrike tarafından verildiğini bağımsız biçimde doğrulamıyor.
4
Soruşturmaya ilişkin haberlerde, PHP tabanlı bir web kabuğu olan Sawfly ile SOCKS5 tünelleme aracı Bareclaw’dan söz ediliyor. Bu araçlar, erişimi sürdürme ve ele geçirilen cihazın ötesine geçme amacıyla yürütülen faaliyetlerle uyumlu.28
33 Bununla birlikte, mevcut kanıtlar saldırı zincirinin tüm ayrıntılarını ortaya koymuyor. Bu nedenle belirli dosyaların çalındığı veya verilerin tam olarak hangi yöntemle dışarı çıkarıldığı yönündeki iddialara temkinli yaklaşılmalı.
Saldırı ve yama takvimi
Haberlerde saldırıların, BeyondTrust açığı kamuya açıklanmadan önce, Ağustos 2026’nın sonlarında başladığı belirtiliyor. Bir kaynak ilk faaliyeti 29 Ağustos’a tarihlendiriyor ve saldırıların hem BeyondTrust’un barındırdığı bir örneği hem de müşterinin kendi sunucusundaki bir cihazı kapsadığını aktarıyor.1
19
BeyondTrust düzeltmeyi 8 Ekim’de yayımladı ve hizmet olarak sunulan (SaaS) müşterilerinin sistemlerinin 9 Ekim’e kadar yamalandığını bildirdi. Şirket, CVE-2026-102764’ü 15 Ekim’de BT26-05 güvenlik duyurusuyla kamuoyuna açıkladı.1
7
Kendi sunucularında kurulum yapan müşteriler için BT26-05-RS yaması, Remote Support’un 24.3.1 ile 26.2.3 arasındaki sürümlerini kapsıyor. Daha eski sürümlerin bu düzeltmeyi yükleyebilmesi için önce desteklenen bir sürüme yükseltilmesi gerekiyor.1
Kurumlar şimdi ne yapmalı?
- Ürün ve sürümü doğrulayın. Kendi sunucunuzda çalışan Remote Support cihazlarının etkilenmiş, yama uygulanmamış 26.2.3 veya önceki bir sürümde olup olmadığını kontrol edin. Kendi sunucunuzdaki kurulumun, SaaS müşterilerine yapılan otomatik güncellemeyi aldığı varsayımında bulunmayın.
1
18
- Uygun yamayı yükleyin. Kurulu sürüme göre üreticinin yama yönergelerini izleyin; eski sürümlerde gerekli yükseltme adımını da uygulayın.
- Maruz kalmış cihazlarda ihlal belirtisi arayın. Google ve Mandiant’ın aktardığı değerlendirme, root erişimi, kimlik bilgilerine erişim ve ağ içinde ilerleme riski nedeniyle internete açık kendi sunucu kurulumlarının olası bir ihlal yaşanmış gibi ele alınmasını öneriyor.
12
- Kimlik bilgilerini ve bağlantılı sistemleri inceleyin. Saldırganların ürünün yönettiği kimlik bilgilerine eriştiği ve ağ içinde ilerlemek için dayanak oluşturduğu bildirildi. Bu nedenle inceleme yalnızca cihazla sınırlı kalmamalı; cihazın erişebildiği hesapları ve sistemleri de kapsamalı.
3
Yama, bilinen açığın kullanılmasını engeller; ancak cihazın düzeltme yüklenmeden önce ele geçirilip geçirilmediğini tek başına göstermez. Bu olayda güncelleme ve olası ihlalin araştırılması, birbirinden ayrı iki adım olarak değerlendirilmelidir.1
12
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "BeyondTrust açığı: Armory Castle cihazlarda root erişimine ulaştı"?
Armory Castle, CVSS 4.0’a göre 9,3 puan alan CVE 2026 102764 açığını BeyondTrust Remote Support’un 26.2.3 ve önceki sürümlerinde yama yayımlanmadan önce kullandı; saldırganların root erişimine ve kimlik bilgilerine ul...
What are the key points to validate first?
Armory Castle, CVSS 4.0’a göre 9,3 puan alan CVE 2026 102764 açığını BeyondTrust Remote Support’un 26.2.3 ve önceki sürümlerinde yama yayımlanmadan önce kullandı; saldırganların root erişimine ve kimlik bilgilerine ul... BeyondTrust yamayı 8 Ekim 2026’da yayımladı, açığı ise 15 Ekim’de duyurdu. Kendi sunucularında kurulum yapan müşterilerin sürümlerini doğrulaması ve internete açık cihazlarda olası ihlali araştırması gerekiyor.[1][7][12]