答案已發布20 來源
BeyondTrust 零日漏洞遭 Armory Castle 利用：攻擊者取得設備 root 權限
Armory Castle 利用 CVE 2026 102764 攻擊 BeyondTrust Remote Support；漏洞評分為 CVSS 9.3，影響未修補的 26.2.3 或之前版本。調查指出，攻擊者取得設備 root 權限，並接觸產品儲存或代為處理的憑證。[1][12] BeyondTrust 於 2026 年 10 月 8 日推出修補程式，並於 10 月 15 日公開披露漏洞。自架系統用戶應確認版本已修補，並檢查設備有沒有遭入侵。[1][7][12]
發布者使用 GPT-6 Luna 編輯圖片由 GPT Image 2 生成
研究答案
重點
- Armory Castle 利用 CVE 2026 102764 攻擊 BeyondTrust Remote Support；漏洞評分為 CVSS 9.3，影響未修補的 26.2.3 或之前版本。調查指出，攻擊者取得設備 root 權限，並接觸產品儲存或代為處理的憑證。[1][12]
- BeyondTrust 於 2026 年 10 月 8 日推出修補程式，並於 10 月 15 日公開披露漏洞。自架系統用戶應確認版本已修補，並檢查設備有沒有遭入侵。[1][7][12]
AI 提示
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 17, 2026 report reveal about the suspected China-linked espionage group Armory Castle, formerly UNC5221 and also track. Article summary: The available reporting describes a suspected China-linked espionage campaign in which Armory Castle exploited BeyondTrust Remote Support before a patch was available, gaining appliance control and access to credentials . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
疑似與中國有關的間諜組織利用 BeyondTrust Remote Support 一個尚未有修補程式的嚴重漏洞，入侵受影響設備並取得主機層級的 root 權限。Google 和 Mandiant 的調查指出，攻擊者亦接觸到產品儲存或代為處理的憑證，可能藉此進一步進入網絡。1
12
對企業而言，安裝更新固然重要，但若曾有自架設備暴露於網絡，亦要另外評估系統在修補前是否已被入侵；更新本身不能證明設備沒有遭人存取過。1
12
漏洞有甚麼影響？
CVE-2026-102764 的 CVSS 4.0 評分為 9.3，影響未安裝修補程式的 BeyondTrust Remote Support 26.2.3 或之前版本。問題在於產品的內部訊息元件未有妥善驗證訊息來源，令未經認證的遠端攻擊者有機會冒充受信任元件，並在設備上執行檔案操作。2
3
18
Google 和 Mandiant 表示，攻擊者利用漏洞進入設備後，將權限提升至主機層級的 root。這種控制權可能讓攻擊者接觸產品儲存或代為處理的憑證，亦可能成為進一步進入網絡的據點。1
3
12
調查披露了甚麼？
Google 和 Mandiant 將這個疑似中國關聯行為者稱為 Armory Castle；該組織此前以 UNC5221 代號追蹤。1 有二手報道亦使用 Warp Panda 這個名稱，但目前提供的資料未能獨立證實 CrowdStrike 是該追蹤名稱的來源。
4
調查報道提到兩款工具：被描述為 PHP 網頁殼程式的 Sawfly，以及被描述為 SOCKS5 通道工具的 Bareclaw。這些工具與報道所述的整體行動相符，包括維持設備存取，以及協助攻擊者把活動延伸至受影響設備以外。28
33
不過，現有證據未能確認報道中每項行動細節。因此，對於具體被盜文件或資料外傳方式等說法，應審慎看待。
攻擊與修補時間線
報道指，漏洞在 BeyondTrust 公開披露前已於 2026 年 8 月底遭利用。其中一個紀錄將首次活動日期定為 8 月 29 日，並指攻擊涉及一個 BeyondTrust 託管的 Remote Support 實例及一部自架設備。1
19
BeyondTrust 於 10 月 8 日推出修補程式，並表示已於 10 月 9 日前為 SaaS 租戶完成修補；公司其後於 10 月 15 日透過安全公告 BT26-05 公開披露 CVE-2026-102764。1
7
報道指出，自架版 Remote Support 24.3.1 至 26.2.3 可使用 BT26-05-RS 修補程式；更舊版本則需要先升級，才能套用修補程式。1
企業應採取甚麼措施？
- 確認產品及版本。 檢查有沒有自架 Remote Support 設備使用未修補的 26.2.3 或之前版本。自架系統不要假設已經收到 SaaS 版本的自動更新。
1
18
- 按版本安裝修補程式。 依照廠商指引，為現有版本套用適用的修補程式；較舊版本須先完成所需升級。
- 檢查設備有沒有遭入侵。 Google 和 Mandiant 的報道建議，把曾暴露於網絡的自架設備視為可能已遭入侵，並進行調查；原因是攻擊者據報曾取得 root 權限、接觸憑證，亦有進一步進入網絡的風險。
12
- 一併檢視憑證及相關系統。 由於攻擊者據報接觸到產品處理的憑證，並建立可供橫向移動的據點，事件調查不應只限於設備本身，亦要考慮它可存取的系統及帳戶。
3
修補可以阻止已知漏洞繼續被利用，但不能單靠更新判斷設備在修補前有沒有被人存取。因此，完成修補和評估是否遭入侵，應視為兩項不同工作。1
12
Studio Global AI
繼續你的研究
此頁麵包含一個有來源支援的答案，您可以在 Studio Global 內繼續。
人們還問
「BeyondTrust 零日漏洞遭 Armory Castle 利用：攻擊者取得設備 root 權限」的簡短答案是什麼？
Armory Castle 利用 CVE 2026 102764 攻擊 BeyondTrust Remote Support；漏洞評分為 CVSS 9.3，影響未修補的 26.2.3 或之前版本。調查指出，攻擊者取得設備 root 權限，並接觸產品儲存或代為處理的憑證。[1][12]
首先要驗證的關鍵點是什麼？
Armory Castle 利用 CVE 2026 102764 攻擊 BeyondTrust Remote Support；漏洞評分為 CVSS 9.3，影響未修補的 26.2.3 或之前版本。調查指出，攻擊者取得設備 root 權限，並接觸產品儲存或代為處理的憑證。[1][12] BeyondTrust 於 2026 年 10 月 8 日推出修補程式，並於 10 月 15 日公開披露漏洞。自架系統用戶應確認版本已修補，並檢查設備有沒有遭入侵。[1][7][12]