האקרים הקשורים לסין ניצלו פרצת אפס ימים ב-BeyondTrust כדי להשתלט על שרתי תמיכה מרחוק

a warning sign is posted on a barricade — Rob Martin / Unsplash

קבוצת ריגול סייבר הקשורה לסין, המוכרת בשם Armory Castle, ניצלה פרצת אבטחה שנתגלתה לאחרונה במוצר BeyondTrust Remote Support כפרצת אפס ימים בסוף אוגוסט 2026.

הפגיעות, המזוהה כ-CVE-2026-102764 עם ציון CVSS של 9.3, נובעת מאימות מקור לא תקין ברכיב מסרים פנימי. תוקף מרחוק יכול לנצל פגיעות זו כדי לבצע פעולות קבצים במכשיר המושפע.

לפי ציר הזמנים של BeyondTrust, קבוצת Armory Castle ניצלה את הפרצה כפרצת אפס ימים במכשיר תמיכה מרחוק בניהול עצמי בודד ב-29 באוגוסט 2026. החברה החלה בחקירה לחיפוש פעילות דומה לאחר שביום 27 בספטמבר 2026 התפרסם מידע על ניצול מוצלח של ספק מכשירי אבטחה אחר.

חברת BeyondTrust מסרה כי תיקונים עבור הפרצה הופצו לכל לקוחות ה-SaaS של Remote Support עד ל-9 באוקטובר 2026. לקוחות המשתמשים בניהול עצמי בגרסאות 24.3.1 עד 26.2.3 התבקשו לעדכן ידנית לתיקון BT26-05-RS, בעוד שלקוחות בגרסאות ישנות יותר מ-24.3.1 נדרשים לשדרג לגרסה חדשה יותר כדי להחיל את התיקון.

חברת Mandiant, השייכת לגוגל, דיווחה כי לאחר פריצה מוצלחית נפרס מעטפת רשת PHP קלה בשם SAWFLY. כלי זה משמש לגישה מרחוק אינטראקטיבית ולתקשורת מוצפנת דו-כיוונית עם שרת פיקוד ובקרה. התוקפים משתמשים בצמתי יציאה של רשתות VPN מסחריות ובנתבים של בתים ומשרדים קטנים שנפרצו כדי להסוות את התעבורה, להעלות הרשאות, להשיג שליטה מנהלית מלאה ולהבטיח נוכחות ששורדת אתחולים.

החדירה כוללת ניסיונות לגניבת אישורי גישה באמצעות קריאת סודות השמורים במכשיר וניצול גישה מנהלית כדי להגיע למערכות מחוברות ולבצע תנועה רוחבית. חוקרים מ-Mandiant ו-Google Threat Intelligence Group ציינו כי Armory Castle הפגינה הבנה עמוקה במבנה הפנימי של מכשירי BeyondTrust, כפי שבא לידי ביטוי בניצול כלי CLI קנייניים, תבניות הגדרת אתחול וניתוב פרוקסי הפוך מקומי.

קבוצת Armory Castle, הפעילה מאוקטובר 2023, ידועה בניצול פרצות אפס ימים במכשירי Citrix NetScaler ו-Ivanti Connect Secure כדי לאסוף מודיעין לטווח ארוך ממגזרים שונים, כולל שירותים משפטיים, ספקי SaaS, ממשלות וחברות טכנולוגיה.

ב-16 באוקטובר 2026 פרסמה הסוכנות לאבטחת סייבר ותשתיות של ארהב, CISA, המלצה דחופה לארגונים המשתמשים ב-BeyondTrust Remote Support לנקוט בפעולות מידיות. הסוכנות הוסיפה את הפרצה לקטלוג הפגיעויות המנוצלות הידועות שלה, ובכך היא מחייבת סוכנויות פדרליות להחיל את התיקונים עד ל-19 באוקטובר 2026.