Angreifer haben eine kritische Schwachstelle in BeyondTrust Remote Support als Zero-Day ausgenutzt und dabei sowohl eine vom Anbieter gehostete Appliance als auch eine selbst betriebene Installation kompromittiert. Die Lücke CVE-2026-102764 betrifft alle Remote-Support-Versionen bis einschließlich 26.2.3.
BeyondTrust, Mandiant und die Google Threat Intelligence Group haben die Angriffe Armory Castle zugeordnet, die auch als UNC5221 und Warp Panda geführt wird. Die Gruppe wird als China-nahe, staatlich unterstützte Spionagegruppe beschrieben, die an langfristiger Informationsbeschaffung interessiert ist. Diese Zuordnung ist die Einschätzung der Beteiligten und keine technische Eigenschaft der Schwachstelle selbst.
Die Ausnutzung wurde erstmals am 29. August beobachtet, und zwar gegen eine vom Anbieter gehostete und eine selbst betriebene Appliance, laut dem Bericht von SecurityWeek über die Ergebnisse des Anbieters.
Ein Fehler bei der Nachrichtenvalidierung ermöglichte Dateioperationen auf der Appliance
CVE-2026-102764 wird als CWE-290 eingestuft, Authentication Bypass by Spoofing (Umgehung der Authentifizierung durch Spoofing). Laut NVD-Beschreibung haben interne Komponenten von Remote Support nicht ausreichend geprüft, woher empfangene Nachrichten stammen. Unter den notwendigen Bedingungen könnte ein Angreifer diese Schwäche nutzen, um Dateioperationen auf der Appliance durchzuführen.
SecurityWeek nannte einen CVSS-Wert von 9,3, der die Lücke im kritischen Schweregradbereich einordnet. Dieser Wert beschreibt das potenzielle technische Schadensausmaß. Die Belege dafür, dass die Schwachstelle tatsächlich ausgenutzt wird, stammen getrennt davon aus den dokumentierten Angriffen.
Wie SecurityWeek und The Record berichten, reichen die Befunde der Incident-Response von Mandiant weit über den anfänglichen Zugriff auf die Appliance hinaus. Beobachtete Aktivitäten umfassten:
- Erlangung der Root-Kontrolle über den Appliance-Host.
- Sammeln von Zugangsdaten, auch solcher, die auf der Appliance gespeichert waren.
- Erteilung passwortloser Root-Rechte an das Service-Konto der Website.
- Einsatz von Sawfly, einer schlanken PHP-Webshell mit verschlüsselter bidirektionaler Command-and-Control-Kommunikation.
- Installation von Bareclaw, einem eigenentwickelten SOCKS5-Proxy, der verschlüsselten Datenverkehr, das Verketten vorgeschalteter Proxys und Authentifizierung unterstützt.
- Löschen von System-, Webserver- und Anwendungslogs.
- Nutzung kompromittierter Administratorzugangsdaten, um in die Remote-Support-Anwendung einzudringen und die Berechtigungen dieses Kontos zu erweitern.
- Angriffe auf interne Endgeräte über die kompromittierte Appliance.
- Nutzung der integrierten Datei-Zugriffs- und Übertragungsfunktionen von Remote Support, um sensible Dokumente zu sammeln, darunter Software-Inventare, die sich für die Netzwerkaufklärung eignen.
- Veränderung von Dateien auf eine Weise, die Neustarts und Konfigurationszurücksetzungen überstehen könnte.
Die Ermittler berichteten außerdem über Rechteausweitung und seitliche Bewegung in die Netzwerke der Opfer. Diese Befunde zeigen, dass das Einspielen eines Patches den verwundbaren Einstiegspunkt schließt, allein aber nicht belegt, dass eine bereits exponierte Appliance sauber ist.
Versionen bis 26.2.3 erfordern Handlungsbedarf
Der Fix von BeyondTrust wird als Patch BT26-05-RS für Remote-Support-Versionen 24.3.1 bis 26.2.3 verteilt.
Welche Maßnahme nötig ist, hängt von der installierten Version und vom Bereitstellungsmodell ab:
| Bereitstellung oder Version | Erforderliche Maßnahme |
|---|---|
| Remote Support 24.3.1–26.2.3 | BT26-05-RS einspielen |
| Releases älter als 24.3.1 | Auf ein neueres Release aktualisieren, dann den Patch einspielen |
| Vom Anbieter gehostetes Remote-Support-SaaS | BeyondTrust zufolge waren alle Kunden zum 9. Oktober 2026 gepatcht |
| Selbst betriebenes Remote Support ohne automatische Updates | Fix manuell einspielen |
BeyondTrust erklärte, bis zum 30. September einen Patch erstellt zu haben. Anschließend sei dieser getestet und um weitere Ausnutzungspfade ergänzt worden, bevor der Fix am 8. Oktober ausgeliefert wurde.
Die Berichte nennen zwei frühere Meilensteine: Laut The Record wurde BeyondTrust am 27. September erstmals informiert, nachdem ein öffentlicher Angriff auf die Edge-Appliances eines anderen Anbieters eine Untersuchung eines ähnlichen Problems ausgelöst hatte. Laut SecurityWeek hat das Unternehmen den Fehler in Remote Support am 28. September identifiziert.
Aus dem Internet erreichbare Appliances müssen auf Kompromittierung geprüft werden
Mandiant rät Organisationen, verwundbare, aus dem Internet erreichbare Remote-Support-Appliances als potenziell kompromittiert zu behandeln, bis sie überprüft wurden.
Für Verteidiger liefern die berichteten Verhaltensweisen nach der Ausnutzung konkrete Ansatzpunkte für die Untersuchung: unerwartete Änderungen von Administratorrechten, passwortloser Root-Zugriff für das Service-Konto der Website, veränderte persistente Dateien, fehlende Logs, nicht erklärbare Nutzung nativer Dateiübertragungsfunktionen sowie Spuren von Sawfly oder Bareclaw. Da der Akteur Berichten zufolge gespeicherte Zugangsdaten gesammelt hat, sollten betroffene Organisationen außerdem eine mögliche Offenlegung von Zugangsdaten und einen daraus folgenden Zugriff über die Appliance hinaus einkalkulieren.
Das beobachtete Löschen mehrerer Log-Typen könnte die appliance-lokalen Beweise einschränken. Die Prüfung sollte daher relevante Identitäts-, Endpunkt- und Netzwerktelemetrie einbeziehen und sich nicht allein auf den Remote-Support-Host stützen.
Armory Castle hat wiederholt Edge-Produkte angegriffen
GTIG und Mandiant verfolgen die Aktivitäten von Armory Castle seit Oktober 2023. Die Gruppe wurde bereits mit der Ausnutzung von Citrix NetScaler CVE-2023-4966, Ivanti-Lücken CVE-2023-46805, CVE-2024-21887 und CVE-2025-0282 sowie Dell RecoverPoint for Virtual Machines CVE-2026-22769 in Verbindung gebracht.
Alle fünf sind im Katalog Known Exploited Vulnerabilities der CISA gelistet. Die Citrix-Lücke und drei der Ivanti-Lücken sind außerdem als in Ransomware-Kampagnen genutzt verzeichnet. Das bedeutet allerdings nicht, dass die hier beschriebenen BeyondTrust-Aktivitäten Ransomware umfassten.
Die CISA hat CVE-2023-4966 am 18. Oktober 2023 aufgenommen, mit Behebungsfrist 8. November 2023. CVE-2023-46805 und CVE-2024-21887 kamen am 10. Januar 2024 hinzu, beide mit Frist 22. Januar 2024. CVE-2025-0282 wurde am 8. Januar 2025 aufgenommen, mit Frist 15. Januar 2025, und CVE-2026-22769 am 18. Februar 2026, mit Frist 21. Februar 2026. Diese Fristen gelten für die betroffenen US-Bundesbehörden, nicht für jede Organisation.
GTIG stufte ein, dass Armory Castle Zero-Days zuvor selektiv eingesetzt und die Ausnutzung erst nach der öffentlichen Bekanntgabe ausgeweitet hat. Breitere Angriffe auf CVE-2026-102764 seien möglich. Das ist eine Prognose und kein Beleg dafür, dass solche großflächigen Aktivitäten bereits stattgefunden haben. Betreiber selbst betriebener Installationen sollten BT26-05-RS zügig einspielen und jede aus dem Internet erreichbare, verwundbare Appliance auf Kompromittierung untersuchen.
