答案已發布20 個來源
BeyondTrust 零時差漏洞遭利用：Armory Castle 取得主機 root 權限
CVE 2026 102764 的 CVSS 4.0 評分為 9.3，影響尚未修補、版本為 26.2.3 或更早的 BeyondTrust Remote Support；攻擊者可利用訊息來源驗證不足，進行未經授權的檔案操作。[2][3][18] Google 與 Mandiant 指出，Armory Castle 利用漏洞取得設備 root 權限，並接觸產品儲存或代管的憑證；自架設備除了套用修補程式，也應評估是否已遭入侵。[1][3][12] BeyondTrust 於 2026 年 10 月 8 日釋出修補程式、10 月 15 日公開揭露漏洞；自架環境須確認版本與修補狀態，不能只因已更新就假定未曾遭到入侵。[1][7][12]
發布者使用 GPT-6 Luna 編輯圖片由 GPT Image 2 生成
研究答案
重點整理
- CVE 2026 102764 的 CVSS 4.0 評分為 9.3，影響尚未修補、版本為 26.2.3 或更早的 BeyondTrust Remote Support；攻擊者可利用訊息來源驗證不足，進行未經授權的檔案操作。[2][3][18]
- Google 與 Mandiant 指出，Armory Castle 利用漏洞取得設備 root 權限，並接觸產品儲存或代管的憑證；自架設備除了套用修補程式，也應評估是否已遭入侵。[1][3][12]
- BeyondTrust 於 2026 年 10 月 8 日釋出修補程式、10 月 15 日公開揭露漏洞；自架環境須確認版本與修補狀態，不能只因已更新就假定未曾遭到入侵。[1][7][12]
AI 提示詞
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 17, 2026 report reveal about the suspected China-linked espionage group Armory Castle, formerly UNC5221 and also track. Article summary: The available reporting describes a suspected China-linked espionage campaign in which Armory Castle exploited BeyondTrust Remote Support before a patch was available, gaining appliance control and access to credentials . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
疑似與中國有關的間諜組織利用 BeyondTrust Remote Support 的重大零時差漏洞，在修補程式推出前入侵設備，進一步取得主機 root 權限，並接觸產品儲存或代管的憑證。對使用自架設備的組織而言，重點不只是盡快更新，也要確認設備在修補前是否已遭入侵。1
12
漏洞可能造成什麼影響？
CVE-2026-102764 的 CVSS 4.0 評分為 9.3，影響尚未套用安全修補的 BeyondTrust Remote Support 26.2.3 及更早版本。問題出在內部訊息元件未能妥善驗證訊息來源，未經驗證的遠端攻擊者因此可能冒充受信任元件，對設備執行檔案操作。2
3
18
Google 與 Mandiant 的調查指出，攻擊者利用漏洞取得設備存取權限，並將權限提升至主機層級的 root。這使攻擊者可能接觸產品儲存或代管的憑證，也可能把遭入侵的設備當成進一步滲透網路的據點。1
3
12
調查指出哪些攻擊手法？
Google 與 Mandiant 將這個疑似間諜組織稱為 Armory Castle；該組織過去曾以 UNC5221 為代號追蹤。1 部分報導也使用 Warp Panda 這個名稱，但目前提供的資料不足以獨立確認該代號與 CrowdStrike 的關聯。
4
調查報導提到攻擊者使用 Sawfly（PHP 網頁殼層）及 Bareclaw（SOCKS5 通道工具）。這些工具與維持入侵存取、從遭入侵設備向網路其他區域延伸的活動相符。28
33 不過，現有資料不足以確認這次行動的每個細節；對於特定檔案遭竊或資料外傳方式等說法，仍應審慎看待。
漏洞利用與修補時程
報導指出，漏洞在 BeyondTrust 公開揭露前，已於 2026 年 8 月下旬遭利用。其中一份調查紀錄將攻擊起始時間列為 8 月 29 日，並提及一個 BeyondTrust 代管的環境與一台自架設備遭到攻擊。1
19
BeyondTrust 於 10 月 8 日釋出修補程式，並表示已在 10 月 9 日前為 SaaS 租戶完成修補；公司則於 10 月 15 日透過公告 BT26-05 公開揭露 CVE-2026-102764。1
7
對自架 Remote Support 而言，版本 24.3.1 至 26.2.3 適用的修補程式為 BT26-05-RS；更舊版本須先升級，再套用修補程式。1
組織現在可以怎麼做？
- 確認產品與版本。 檢查是否有自架 Remote Support 設備使用尚未修補的 26.2.3 或更早版本。自架設備不應假設已隨 SaaS 環境自動更新。
1
18
- 依照版本套用修補程式。 遵循 BeyondTrust 提供的修補指引；若使用較舊版本，先確認並完成必要的升級程序。
- 檢查設備是否曾遭入侵。 Google 與 Mandiant 的報導建議，將可能暴露於攻擊的自架設備視為可能已遭入侵，並進一步調查；原因是攻擊者據報曾取得 root 權限、接觸憑證，且可能以設備為跳板。
12
- 一併檢視憑證與連線系統。 由於攻擊者據報可能接觸產品處理的憑證並建立後續存取據點，調查範圍不宜只限於設備本身，也應考量它能存取的帳號與系統。
3
修補程式能阻止已知漏洞繼續被利用，但無法單憑更新確認設備在修補前是否已遭存取。因此，修補與入侵評估應視為兩項不同工作。1
12
Studio Global AI
繼續深入研究
這個頁面包含附來源佐證的答案，你可以在 Studio Global 內繼續追問。
大家也會問
「BeyondTrust 零時差漏洞遭利用：Armory Castle 取得主機 root 權限」的簡短答案是什麼？
CVE 2026 102764 的 CVSS 4.0 評分為 9.3，影響尚未修補、版本為 26.2.3 或更早的 BeyondTrust Remote Support；攻擊者可利用訊息來源驗證不足，進行未經授權的檔案操作。[2][3][18]
最值得優先驗證的重點是什麼？
CVE 2026 102764 的 CVSS 4.0 評分為 9.3，影響尚未修補、版本為 26.2.3 或更早的 BeyondTrust Remote Support；攻擊者可利用訊息來源驗證不足，進行未經授權的檔案操作。[2][3][18] Google 與 Mandiant 指出，Armory Castle 利用漏洞取得設備 root 權限，並接觸產品儲存或代管的憑證；自架設備除了套用修補程式，也應評估是否已遭入侵。[1][3][12]
接下來在實務上該怎麼做？
BeyondTrust 於 2026 年 10 月 8 日釋出修補程式、10 月 15 日公開揭露漏洞；自架環境須確認版本與修補狀態，不能只因已更新就假定未曾遭到入侵。[1][7][12]