BeyondTrust Remote Support'taki sıfırıncı gün açığı ağustostan beri istismar ediliyor

BeyondTrust, Remote Support ürünündeki kritik bir açığı kapattı. BleepingComputer ve The Hacker News'in aktardığına göre Çin bağlantılı olduğu değerlendirilen bir casusluk grubu bu açığı ağustos 2026'nın sonundan beri sıfırıncı gün olarak istismar ediyordu. CVE-2026-102764 koduyla izlenen ve CVSS puanı 9.3 olan açık, şirket tarafından 15 Ekim'de duyuruldu. Remote Support cihazları alt sistemlere erişim için kullanılan ayrıcalıklı kimlik bilgilerini sakladığı ve aktardığı için, ele geçirilmeleri saldırganlara kurum ağında geniş erişim sağlayabiliyor.

Neler oldu?

The Hacker News'e göre açık ilk kez 29 Ağustos 2026'da şirket içinde barındırılan tek bir Remote Support cihazına karşı kullanıldı. BeyondTrust, "başka bir güvenlik cihazı sağlayıcısının başarıyla istismar edildiğinin" 27 Eylül'de kamuoyuna yansımasının ardından benzer etkinlikleri araştırmaya başladığını belirtti. The Hacker News, tüm Remote Support SaaS müşterilerinin 9 Ekim itibarıyla yamalandığını yazarken, BleepingComputer Remote Support ve Privileged Remote Access SaaS müşterilerinin 8 Ekim'de yamalandığını aktardı.

Mandiant ve Google Threat Intelligence Group (GTIG), saldırıları daha önce UNC5221 olarak izlenen ve CrowdStrike'ın Warp Panda adını verdiği Armory Castle grubuna bağlıyor. Haberlere göre grup daha önce de Citrix NetScaler (CVE-2023-4966) ve Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887, CVE-2025-0282) gibi ağ kenarı cihazlarındaki açıkları istismar etmişti.

Teknik detaylar

BeyondTrust'ın BT26-05 numaralı duyurusuna göre dahili mesajlaşma bileşenleri aldıkları mesajların kaynağını yeterince doğrulamıyordu; bu durum uygun koşullarda uzaktaki bir saldırganın cihazda dosya işlemleri yapmasına imkân tanıyordu. BleepingComputer açığı bir kimlik doğrulama atlatma açığı olarak tanımlıyor.

The Hacker News'in aktardığı GTIG ve Mandiant bulgularına göre saldırganlar /bin/sh dosyasını root sahipliği ve SUID biti ile /usr/bin/dbus-authd olarak kopyalayarak root yetkisi elde etti. Ardından SAWFLY adlı PHP web kabuğunu ve C ile yazılmış SOCKS5 tünel aracı BARECLAW'ı kurdu, tünel aracını internetten erişilebilir kılmak için /ns/config/haproxy.conf dosyasını değiştirdi. Saldırganlar /ns/sbin/bt-secrets aracıyla parola, API anahtarı ve uç nokta kimlik bilgilerini toplamaya çalıştı, ele geçirdikleri yönetici hesaplarıyla Jump Item listesindeki sistemlere oturum açtı, iç belgeleri indirdi ve kayıtları sistematik biçimde sildi. Altyapıyı gizlemek için ticari VPN çıkış noktaları ve ele geçirilmiş ev tipi yönlendiriciler kullanıldı.

Kimler etkileniyor?

Açık, eski adı Bomgar olan BeyondTrust Remote Support ürününü etkiliyor. BleepingComputer'ın aktardığı Shadowserver verilerine göre internete açık 1.400'ü aşkın Remote Support örneği bulunuyor; bunların kaçının yamasız olduğu bilinmiyor. BeyondTrust, devlet kurumları dahil 20 binden fazla müşteriye hizmet verdiğini belirtiyor.

Ne yapmalı?

The Hacker News'e göre şirket içi 24.3.1 ile 26.2.3 arasındaki sürümleri kullananlar BT26-05-RS yamasını uygulamalı, daha eski sürümleri kullananlar ise yükseltme yapmalı. Mandiant, istismar döneminde savunmasız sürümle internete açık olan her cihazın incelenene kadar ele geçirilmiş kabul edilmesini öneriyor. Yöneticilerin dbus-authd dosyasını, SAWFLY ve BARECLAW izlerini, haproxy.conf değişikliklerini ve kayıtlardaki boşlukları kontrol etmesi, cihazda saklanan veya aracılık edilen kimlik bilgilerini yenilemesi gerekiyor. Mandiant, daha yaygın istismar girişimlerinin gelebileceği uyarısında da bulundu.