AnswersPublished20 sources
Хакери використали zero-day BeyondTrust, щоб захопити контроль над пристроями Remote Support
Armory Castle використала CVE 2026 102764 із рейтингом CVSS 9,3. Вразливість зачіпала непатчені версії BeyondTrust Remote Support до 26.2.3 включно; зловмисники, за повідомленнями, отримали root доступ і дісталися до...
ОпублікувавВідредаговано за допомогою GPT-6 LunaЗображення створено за допомогою GPT Image 2
Research answer
Key takeaways
- Armory Castle використала CVE 2026 102764 із рейтингом CVSS 9,3. Вразливість зачіпала непатчені версії BeyondTrust Remote Support до 26.2.3 включно; зловмисники, за повідомленнями, отримали root доступ і дісталися до...
- BeyondTrust випустила виправлення 8 жовтня 2026 року, а про вразливість публічно повідомила 15 жовтня.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 17, 2026 report reveal about the suspected China-linked espionage group Armory Castle, formerly UNC5221 and also track. Article summary: The available reporting describes a suspected China-linked espionage campaign in which Armory Castle exploited BeyondTrust Remote Support before a patch was available, gaining appliance control and access to credentials . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Група кібершпигунів Armory Castle використала невідому раніше вразливість у BeyondTrust Remote Support ще до появи виправлення. За даними Google та Mandiant, зловмисники отримали контроль на рівні root над ураженими пристроями й могли дістатися до облікових даних, які продукт зберігав або використовував. Тож для організацій важливо не лише встановити оновлення, а й з’ясувати, чи не було їхніх пристроїв скомпрометовано раніше.1
12
Що дозволяла вразливість
CVE-2026-102764 отримала оцінку 9,3 за шкалою CVSS 4.0 і стосувалася непатчених версій BeyondTrust Remote Support 26.2.3 і старіших. Проблема полягала в тому, що внутрішній компонент належно не перевіряв походження повідомлень. Віддалений зловмисник без автентифікації міг видати себе за довірений компонент і виконувати файлові операції на пристрої.2
3
18
За даними Google та Mandiant, нападники використали цю можливість, щоб проникнути на пристрої та підвищити привілеї до рівня root — повного контролю над системою. Це могло відкрити їм доступ до облікових даних, які зберігає або передає продукт, і допомогти закріпитися для подальшого руху мережею.1
3
12
Що відомо про зловмисників
Google і Mandiant пов’язують атаку з групою Armory Castle, яку раніше відстежували під назвою UNC5221.1 Деякі публікації також називають її Warp Panda, однак наявні джерела не підтверджують незалежно, що саме CrowdStrike використовує цю назву.
4
У звітах про розслідування згадуються Sawfly — PHP-вебшелл — і Bareclaw, інструмент для SOCKS5-тунелювання. Такі засоби можуть допомагати зберігати доступ до скомпрометованого пристрою та прокладати шлях до інших систем.28
33 Водночас доступні дані не підтверджують усіх подробиць операції, тож твердження про конкретні викрадені файли чи точний спосіб їхнього виведення з мережі варто сприймати обережно.
Коли відбулися атаки й вийшов патч
За повідомленнями, експлуатація вразливості почалася наприкінці серпня 2026 року — ще до публічного розкриття проблеми. В одному зі звітів першу активність датують 29 серпня й зазначають, що йшлося про один хмарний екземпляр BeyondTrust і один пристрій із власним розгортанням.1
19
BeyondTrust випустила виправлення 8 жовтня, а до 9 жовтня повідомила про оновлення своїх SaaS-клієнтів. Публічне повідомлення про CVE-2026-102764 у бюлетені BT26-05 з’явилося 15 жовтня.1
7
Для власних інсталяцій Remote Support версій від 24.3.1 до 26.2.3 передбачено патч BT26-05-RS. Якщо встановлена старіша версія, перед застосуванням виправлення її потрібно оновити згідно з інструкціями постачальника.1
Що варто зробити організаціям
- Перевірити продукт і його версію. З’ясуйте, чи працювали ваші пристрої Remote Support на непатченій версії 26.2.3 або старішій. Не припускайте, що власна інсталяція отримала оновлення автоматично разом із хмарним сервісом.
1
18
- Встановити відповідне виправлення. Дотримуйтеся рекомендацій BeyondTrust для своєї версії, зокрема необхідного порядку оновлення старіших випусків.
- Перевірити пристрої на ознаки зламу. Google та Mandiant радять розглядати потенційно доступні з інтернету пристрої з власним розгортанням як такі, що могли бути скомпрометовані: нападники, за повідомленнями, отримували root-доступ і могли викрадати облікові дані.
12
- Оцінити пов’язані облікові записи й системи. Перевірка має охоплювати не лише сам пристрій, а й системи та облікові записи, до яких він міг надати доступ: повідомлялося про ризик подальшого переміщення мережею.
3
Встановлення патча усуває відому вразливість, але саме по собі не доводить, що пристрій не зламали до оновлення. Тому виправлення програмного забезпечення та перевірка на компрометацію — це окремі кроки реагування.1
12
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Хакери використали zero-day BeyondTrust, щоб захопити контроль над пристроями Remote Support"?
Armory Castle використала CVE 2026 102764 із рейтингом CVSS 9,3. Вразливість зачіпала непатчені версії BeyondTrust Remote Support до 26.2.3 включно; зловмисники, за повідомленнями, отримали root доступ і дісталися до...
What are the key points to validate first?
Armory Castle використала CVE 2026 102764 із рейтингом CVSS 9,3. Вразливість зачіпала непатчені версії BeyondTrust Remote Support до 26.2.3 включно; зловмисники, за повідомленнями, отримали root доступ і дісталися до... BeyondTrust випустила виправлення 8 жовтня 2026 року, а про вразливість публічно повідомила 15 жовтня.