答案已发布20 来源
BeyondTrust 零日漏洞遭利用，攻击者取得设备 root 权限
Google 与 Mandiant 报告称，Armory Castle 利用 CVE 2026 102764 入侵 BeyondTrust Remote Support；该漏洞评分为 9.3，影响未修补的 26.2.3 及更早版本，攻击者据报取得设备 root 权限并接触凭据。[1][3][12] BeyondTrust 于 2026 年 10 月 8 日发布补丁，并在 10 月 15 日公开披露漏洞。自托管用户应确认已安装适用修复，同时评估设备是否曾遭入侵。[1][7][12]
发布者使用 GPT-6 Luna 编辑图片由 GPT Image 2 生成
研究答案
要点
- Google 与 Mandiant 报告称，Armory Castle 利用 CVE 2026 102764 入侵 BeyondTrust Remote Support；该漏洞评分为 9.3，影响未修补的 26.2.3 及更早版本，攻击者据报取得设备 root 权限并接触凭据。[1][3][12]
- BeyondTrust 于 2026 年 10 月 8 日发布补丁，并在 10 月 15 日公开披露漏洞。自托管用户应确认已安装适用修复，同时评估设备是否曾遭入侵。[1][7][12]
AI 提示
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 17, 2026 report reveal about the suspected China-linked espionage group Armory Castle, formerly UNC5221 and also track. Article summary: The available reporting describes a suspected China-linked espionage campaign in which Armory Castle exploited BeyondTrust Remote Support before a patch was available, gaining appliance control and access to credentials . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
疑似与中国有关联的间谍组织在补丁发布前，利用 BeyondTrust Remote Support 的严重漏洞入侵设备。据 Google 与 Mandiant 报告，攻击者取得了设备主机级 root 权限，并可能接触产品储存或代为处理的凭据。1
12
对组织来说，重点不只是尽快打补丁：如果自托管设备曾暴露在外网，还应调查它是否在修复前已遭入侵。安装补丁可以修复已知漏洞，但不能证明设备此前没有被攻破。1
12
漏洞可能造成什么影响
CVE-2026-102764 的 CVSS 4.0 评分为 9.3，影响尚未安装安全补丁的 BeyondTrust Remote Support 26.2.3 及更早版本。问题出在内部消息组件未能充分验证消息来源，可能让未经身份验证的远程攻击者冒充受信任组件，并在设备上执行文件操作。2
3
18
Google 与 Mandiant 报告称，攻击者借此进入设备并提升权限，最终取得主机级 root 控制权。这样的权限可能使攻击者接触产品保存或经由产品处理的凭据，也可能为其进一步进入组织网络提供落脚点。1
3
12
调查报告提到的攻击者与工具
Google 与 Mandiant 将这名疑似攻击者称为 Armory Castle，该组织此前以 UNC5221 为代号追踪。1 部分二手报道还使用 Warp Panda 这一名称，但现有资料不足以独立确认 CrowdStrike 是否使用该代号。
4
相关报道提到两种工具：被描述为 PHP Web Shell 的 Sawfly，以及用于 SOCKS5 隧道的 Bareclaw。这些工具与报告所述的维持访问、从受感染设备向网络其他部分延伸的活动相符。28
33 目前可见资料并未证实外界归于此次行动的所有细节，因此关于具体哪些文件遭窃、如何准确外传等说法，应谨慎看待。
利用与修补时间线
报道将漏洞利用时间追溯至 2026 年 8 月下旬，早于 BeyondTrust 公开披露漏洞。一篇报道将首次活动日期定为 8 月 29 日，并称攻击涉及一台由 BeyondTrust 托管的实例和一台自托管设备。1
19
BeyondTrust 于 10 月 8 日发布修复，并表示截至 10 月 9 日已为 SaaS 租户完成修补；公司随后于 10 月 15 日通过公告 BT26-05 公开披露 CVE-2026-102764。1
7
针对自托管环境，报道指出，使用 Remote Support 24.3.1 至 26.2.3 的客户应安装 BT26-05-RS 补丁；更早版本则需先升级，再应用该修复。1
组织现在应采取哪些措施
- 核对产品及版本。 检查自托管 Remote Support 设备是否运行未修补的 26.2.3 或更早版本。不要假设自托管安装会像 SaaS 服务一样自动获得更新。
1
18
- 按厂商指引安装修复。 根据当前版本采用相应的修补方案；如果版本较旧，先确认是否需要升级再安装补丁。
- 调查设备是否已遭入侵。 Google 与 Mandiant 的相关报道建议，将可能暴露的自托管设备视为可能已遭入侵，并开展检查。报告提及攻击者曾取得 root 权限、接触凭据，并可能借此进一步进入网络。
12
- 同时评估凭据及关联系统。 调查范围不应只限于设备本身，也应考虑它能够访问的账户和系统，因为攻击者据报接触了产品处理的凭据，并建立了进一步横向移动的落脚点。
3
修补漏洞与确认是否发生入侵，是两项不同的工作。对于可能暴露在外网的自托管设备，组织应在安装修复后继续评估此前是否存在未经授权的访问。1
12
Studio Global AI
继续你的研究
此页面包含一个有来源支持的答案，您可以在 Studio Global 内继续。
人们还问
“BeyondTrust 零日漏洞遭利用，攻击者取得设备 root 权限”的简短答案是什么？
Google 与 Mandiant 报告称，Armory Castle 利用 CVE 2026 102764 入侵 BeyondTrust Remote Support；该漏洞评分为 9.3，影响未修补的 26.2.3 及更早版本，攻击者据报取得设备 root 权限并接触凭据。[1][3][12]
首先要验证的关键点是什么？
Google 与 Mandiant 报告称，Armory Castle 利用 CVE 2026 102764 入侵 BeyondTrust Remote Support；该漏洞评分为 9.3，影响未修补的 26.2.3 及更早版本，攻击者据报取得设备 root 权限并接触凭据。[1][3][12] BeyondTrust 于 2026 年 10 月 8 日发布补丁，并在 10 月 15 日公开披露漏洞。自托管用户应确认已安装适用修复，同时评估设备是否曾遭入侵。[1][7][12]