---
title: BeyondTrust schließt Sicherheitslücke nach Angriffen seit August
url: https://www.dataloco.com/de/beyondtrust-schliesst-sicherheitslucke-nach-angriffen-seit-august
published: 2026-10-19T07:21:17+00:00
language: de
section: Sicherheit
source: https://www.bleepingcomputer.com/news/security/beyondtrust-patches-zero-day-exploited-in-attacks-since-august/
organizations: BeyondTrust, Mandiant, Google Threat Intelligence Group, CrowdStrike, Shadowserver, Volexity
publisher: Dataloco
---

# BeyondTrust schließt Sicherheitslücke nach Angriffen seit August

BeyondTrust hat seine Kunden am Donnerstag gewarnt, eine kritische Schwachstelle in der Lösung Remote Support zu beheben, die seit Ende August in Zero-Day-Angriffen ausgenutzt wurde.

Die unter CVE-2026-102764 geführte Sicherheitslücke ermöglicht es unprivilegierten entfernten Angreifern, Dateioperationen auf nicht aktualisierten Geräten durchzuführen. Betroffen sind die Versionen 26.2.3 oder früher von Remote Support. Während SaaS-Kunden von Remote Support und Privileged Remote Access am 8. Oktober automatisch geschützt wurden, müssen selbst gehostete Installationen manuell aktualisiert werden, sofern keine automatischen Updates aktiviert sind.

BeyondTrust gab an, dass interne Tests keine Möglichkeit zur Ausnutzung der Lücke in Privileged Remote Access identifiziert haben. Da jedoch derselbe Code verwendet wird, wurde aus Vorsicht auch für dieses Produkt ein Patch veröffentlicht.

Die Schwachstelle wurde laut Angaben des Unternehmens von einem mutmaßlichen Spionageakteur mit China-Bezug genutzt. Dieser wird von Mandiant und der Google Threat Intelligence Group als Armory Castle sowie von CrowdStrike als Warp Panda bezeichnet. Die Hacker nutzten die Lücke für den Erstzugriff und steigerten ihre Berechtigungen auf Root-Ebene durch die Aktivierung von Set User ID Berechtigungen.

Nach dem Eindringen installierten die Angreifer die Malware Sawfly Web Shell und den Bareclaw Tunneler. Sie löschten Protokolle zur Verschleierung ihrer Spuren und bewegten sich mithilfe kompromittierter Administrator-Anmeldedaten lateral im Netzwerk der Opfer, indem sie Remote-Sitzungen auf nachgelagerten Systemen öffneten. Mandiant erklärte, dass Angreifer so Zugriff auf alle gespeicherten oder vermittelten Anmeldedaten erhielten und Dateien ändern konnten, die Neustarts und Konfigurationsresets überstehen.

Shadowserver beobachtet über 1.400 online exponierte Instanzen von BeyondTrust Remote Support, wobei unklar bleibt, wie viele davon bereits gesichert wurden oder als Köder dienen. Armory Castle ist dafür bekannt, Zero-Day-Lücken in Netzwerkgeräten von Citrix und Ivanti zu nutzen, um Unternehmensnetzwerke zu infiltrieren.

Dies ist eine von mehreren Schwachstellen bei BeyondTrust in den letzten Jahren. Zuvor wurde die Lücke CVE-2026-1731 für Ransomware genutzt. Zudem wird vermutet, dass die Gruppe Silk Typhoon zwei Zero-Day-Lücken nutzte, um über einen gestohlenen API-Schlüssel 17 SaaS-Instanzen von Remote Support zu kompromittieren.

## This story in other languages

- [Português (Brasil)](https://www.dataloco.com/pt-br/beyondtrust-corrige-vulnerabilidade-zero-day-explorada-em-ataques-desde-agosto)
- [한국어](https://www.dataloco.com/ko/beyondtrust-8)
- [日本語](https://www.dataloco.com/ja/beyondtrust8)
- [中文](https://www.dataloco.com/zh/beyondtrust)
- [Русский](https://www.dataloco.com/ru/beyondtrust-ustranila-uiazvimost-nulevogo-dnia-kotoraia-ispolzovalas-v-atakax-s-avgusta)
- [العربية](https://www.dataloco.com/ar/shrk-beyondtrust-taaalg-thghr-yom-sfr-astghlt-fy-hgmat-mnth-aghsts)
- [Nederlands](https://www.dataloco.com/nl/beyondtrust-verstuurt-spoedpatch-voor-kritieke-kwetsbaarheid-die-al-maanden-wordt-uitgebuit)
- [Norsk](https://www.dataloco.com/no/beyondtrust-oppdaterer-for-a-fikse-kritisk-sarbarhet-utnyttet-i-angrep-siden-august)