Geri
BeyondTrust Remote Support açığı: Destek aracı saldırı yoluna dönüştü
BeyondTrust, 15 Ekim 2026'da Remote Support (RS) ürünündeki kritik bir açığı duyurdu. Açık, oturum açmadan cihaz üzerinde dosya işlemi yapılmasına izin veriyor. İlk bilinen uzlaşmalar 29 Ağustos'ta gerçekleşti; CISA açığı 16 Ekim'de KEV kataloğuna ekledi.
Uzaktan destek araçları kurum ağına geniş erişimle çalıştığı için bu açık özellikle tehlikeli.
Açık
| Alan | Bilgi |
|---|---|
| CVE | CVE-2026-102764 (BeyondTrust bildirimi BT26-05) |
| Tür | Kimlik doğrulama atlatma (CWE-290); iç bileşenler gelen mesajların kaynağını doğrulamıyor |
| CVSS v4.0 | 9.3 — uzaktan, kimlik doğrulamasız, kullanıcı etkileşimsiz |
| Etkilenen | Remote Support 26.2.3 ve öncesi (BT26-05-RS yaması uygulanmamışsa); kendi sunucusunda çalışan Privileged Remote Access da aynı kodu kullanıyor |
| Bulut (SaaS) | BeyondTrust, tüm RS SaaS müşterilerinin 9 Ekim itibarıyla yamalandığını bildiriyor |
Saldırganlar ne yaptı?
Mandiant, saldırıları Çin bağlantılı olduğu değerlendirilen ARMORY CASTLE (eski adıyla UNC5221) grubuna bağlıyor. Gözlenen adımlar: yetkisiz dosya yükleme, PHP web shell ve tünel aracı yerleştirme, root yetkisi kazanma, kimlik bilgisi kasasını çekmeye çalışma, kalıcılık kurma ve günlük silme.
Ne yapmalısınız?
- Kendi sunucunuzdaki RS'yi acilen yamayın. BT26-05-RS yaması 24.3.1–26.2.3 sürümleri için var; daha eski sürümler önce desteklenen bir sürüme yükseltilmeli. PRA kullanıyorsanız doğru yamayı BeyondTrust desteğinden teyit edin.
- Yamadan sonra da inceleyin. Yama, içeride kalıcılık kurmuş bir saldırganı çıkarmıyor. Ev interneti veya ticari VPN adreslerinden açılmış yönetici oturumlarını, web dizinlerindeki beklenmeyen betikleri, yetki ve oturum politikası değişikliklerini, günlük aktarımındaki boşlukları kontrol edin.
- Kanıtı koruyun. Değişiklik ya da yeniden başlatmadan önce günlükleri alın, şüpheli cihazı izole edin.
- Uzlaşma doğrulanır veya dışlanamazsa cihazı temiz ve yamalı imajdan yeniden kurun, RS üzerinden saklanan ya da aktarılan tüm kimlik bilgilerini değiştirin.
- Günlükleri harici bir SIEM'e aktarın. Saldırgan cihazdaki günlükleri silse bile kopyası sizde kalır.
Nokta Guard nasıl yardımcı olur?
Uzaktan erişim ve ayrıcalıklı erişim araçlarınızı sızma testi kapsamında dışarıdan ve içeriden değerlendiriyoruz. Uzlaşma şüphesi olan cihazlarda adli bilişim incelemesiyle saldırganın hangi sistemlere ulaştığını belirliyoruz.
İlgili hizmetler: İç Ağ Sızma Testi, Delil Bütünlüğü Değerlendirmesi
Kaynaklar: Rapid7