آسیب‌پذیری BeyondTrust در حملات روز صفر سوءاستفاده شد

آسیب‌پذیری BeyondTrust در محصول Remote Support این شرکت، از اواخر اوت در حملات روز صفر مورد سوءاستفاده قرار گرفته است. این نقص بحرانی با شناسه CVE-2026-102764 به مهاجم راه‌دورِ بدون دسترسی اجازه می‌دهد روی دستگاه‌های وصله‌نشده عملیات فایل انجام دهد.

این مشکل نسخه 26.2.3 و قدیمی‌تر Remote Support را تحت تأثیر قرار می‌دهد. BeyondTrust در ۸ اکتبر نسخه SaaS محصولات Remote Support و Privileged Remote Access را وصله کرده، اما مشتریان نسخه خودمیزبان در صورت غیرفعال‌بودن به‌روزرسانی خودکار باید وصله را دستی نصب کنند.

پژوهشگران Mandiant و Google Threat Intelligence Group، عامل احتمالی حملات را گروه وابسته به چین با نام Armory Castle می‌دانند؛ گروهی که CrowdStrike آن را Warp Panda می‌نامد. مهاجمان پس از دسترسی اولیه، با فعال‌سازی مجوزهای SUID به سطح ریشه رسیدند، وب‌شل Sawfly و تونل‌ساز Bareclaw را نصب کردند و لاگ‌ها را پاک کردند.

Mandiant هشدار داده هر دستگاه آسیب‌پذیری که در بازه حملات از اینترنت قابل دسترس بوده، باید تا زمان بررسی، بالقوه آلوده فرض شود. این موضوع برای تیم‌های فناوری کسب‌وکارها اهمیت دارد، زیرا مهاجم در سطح ریشه می‌تواند به اعتبارنامه‌های ذخیره یا واسطه‌شده دستگاه دسترسی یابد؛ مشابه هشدارهای نقص‌های بحرانی سرویس‌های سازمانی.

منبع: BleepingComputer