V BeyondTrust Remote Support se zneužívá kritická zranitelnost CVE-2026-102764. Útočník k ní nepotřebuje žádný účet, stačí mu, že se na zařízení dostane po síti, a může na něm provádět operace se soubory. Zranitelnost zneužívali útočníci jako zero-day od konce srpna 2026, od 16. října 2026 je v katalogu CISA KEV a výrobce k ní už vydal záplatu.
Co se stalo
BeyondTrust Remote Support (dříve Bomgar) je zařízení pro vzdálenou podporu. Pracovníci helpdesku se přes něj připojují na počítače a servery uvnitř firmy, takže zařízení bývá dostupné z internetu a zároveň má cestu do vnitřní sítě a uložené přihlašovací údaje.
Podle oznámení BeyondTrustu BT26-05 z 15. října 2026 interní část produktu dostatečně neověřovala, odkud přišla zpráva (CWE-290, obejití ověření spoofingem). Útočník to dokáže využít k neoprávněným operacím se soubory na zařízení, v praxi k nahrání vlastního souboru a k dalšímu postupu dovnitř. Výrobce chybu hodnotí jako kritickou se skóre 9,3 podle CVSS 4.0 a potvrzuje, že zneužití nevyžaduje přihlášení ani žádnou akci uživatele.
BeyondTrust popisuje, že útočník chybu zneužil 29. srpna 2026 proti jedné instanci hostované výrobcem a jedné instanci u zákazníka. Vlastní tým ji odhalil 28. září 2026 a hostovanou instanci izoloval do 27 minut. Útok vyšetřovala i společnost Mandiant, která aktivitu připisuje špionážní skupině ARMORY CASTLE (dříve označované UNC5221) a popisuje u ní malware SAWFLY a BARECLAW. Mandiant zároveň upozorňuje, že po zveřejnění opravy se takové chyby obvykle začnou zneužívat hromadně proti všem neopraveným zařízením.
Horší je to proto, že samotná záplata útočníka nevyhostí. Kdo se do zařízení dostal dřív, má na něm vlastní přístup, a ten oprava neodstraní.
Týká se vás to?
Dotčené jsou verze Remote Support 26.2.3 a starší. Produkt Privileged Remote Access má stejný kód, výrobce v něm zneužitelnou cestu nenašel, přesto pro něj vydal záplatu a doporučuje ji nasadit.
Pokud používáte Remote Support nebo Privileged Remote Access jako službu u BeyondTrustu, výrobce ji opravil sám, instance Remote Support 8. října a Privileged Remote Access 9. října 2026. Pokud máte zařízení u sebe (self-hosted) a nemáte zapnutou automatickou instalaci kritických aktualizací, musíte záplatu nasadit ručně.
Verzi zjistíte v administraci zařízení na adrese /appliance. Pokud nevíte, jestli takové zařízení máte, hledejte ve firmě nástroj, kterým se helpdesk nebo externí dodavatel připojuje na stanice uživatelů.
Co udělat hned
- Nasaďte záplatu BT26-05-RS z administrace zařízení (/appliance). Pokrývá verze 24.3.1 až 26.2.3.
- Běžíte-li na verzi nižší než 24.3.1, nejdřív povyšte na podporovanou verzi a potom nasaďte záplatu.
- U Privileged Remote Access nasaďte odpovídající záplatu BT26-05-PRA.
- Pokud bylo zařízení v době od konce srpna 2026 dostupné z internetu a běželo na zranitelné verzi, považujte ho za možná kompromitované. Mandiant doporučuje po nasazení záplaty postavit zařízení znovu z čisté a plně aktualizované image a až potom měnit přihlašovací údaje.
- Než zařízení vyšetříte, nerestartujte ho bez zálohy stavu. Snímek zařízení udělejte dřív.
- Omezte přístup ke zařízení z internetu jen na adresy, ze kterých se opravdu připojujete.
- Federální úřady v USA mají podle katalogu CISA KEV termín na opravu 19. října 2026. Pro firmy v Česku žádný zákonný termín na tuto konkrétní chybu neplatí, ale krátký termín napovídá, jak CISA hodnotí riziko.
Jak poznat, že už jste napadení
Mandiant zveřejnil, co útočník na zařízení dělal. Projděte si proto podle jeho popisu zejména tyto věci:
- Volání nástroje na výpis trezoru hesel (/ns/sbin/bt-secrets) v záznamech o spuštěných příkazech.
- Změny v konfiguraci HAProxy, kterými útočník zpřístupnil tunel SOCKS5 přes legitimní HTTPS rozhraní zařízení, takže z běžného skenování portů zvenčí nebyl vidět.
- Zvýšení práv u Jump Item a Team z No Access na Administrator, nové uživatele a nové účty pro API, přihlášení správce, které nikdo z týmu nepozná.
- Přenosy souborů, které nepatří k žádné nahlášené podpoře, a změny v nastavení, kam zařízení posílá logy.
- Mazání logů jako takové: útočník odstraňoval záznamy o přihlášení, záznamy webového serveru i přístupy k trezoru. Nevysvětlená mezera v přeposílaném syslogu během jedné sezení je silný signál, že se s logy manipulovalo.
Kdo najde stopy zneužití, má podle výrobce otevřít podporu se závažností 1 a odkázat se na BT26-05. Pokud řešíte incident právě teď, ozvěte se nám na stránce Právě řešíte incident.
Nestíháte to sledovat?
Většina firem nemá tolik lidí, aby sledovala oznámení výrobců u každého zařízení, které má na hraně sítě. Pomáháme s tím dvěma způsoby: posouzením bezpečnosti zjistíme, co máte vystavené do internetu a jak jste na tom se zranitelnostmi, a v roli externího manažera bezpečnosti hlídáme priority a nápravu průběžně. Evidenci aktiv, dodavatelů a opatření na jednom místě řeší naše aplikace Observa. Úvodní konzultace je bezplatná, napište nám.
Zdroje: BeyondTrust, oznámení BT26-05 k CVE-2026-102764 · CISA, výzva k nasazení opravy BeyondTrust Remote Support · CISA, katalog zneužívaných zranitelností KEV · Mandiant a Google Threat Intelligence, analýza zneužití skupinou ARMORY CASTLE · NVD, záznam CVE-2026-102764 · BleepingComputer, souhrn zneužívání od srpna 2026