Beveiliging · 19 oktober 2026
BeyondTrust verstuurt spoedpatch voor kritieke kwetsbaarheid die al maanden wordt uitgebuit
Het bedrijf BeyondTrust heeft op donderdag zijn klanten gewaarschuwd om een kritieke fout in zijn Remote Support-product te verhelpen. Deze fout is sinds eind augustus actief uitgebuit in zogenaamde zero-day-aanvallen. De kwetsbaarheid, die bekendstaat als CVE-2026-102764, maakt het mogelijk voor onbevoegde externe aanvallers om bestandsoperaties uit te voeren op niet-gepatchte apparaten. Het probleem beïnvloedt versie 26.2.3 en alle eerdere versies van de software.
BeyondTrust heeft de beveiligingsproblemen op 8 oktober opgelost voor alle klanten die gebruikmaken van de SaaS-versies van Remote Support en Privileged Remote Access. Klanten die zelfhostende installaties gebruiken, moeten de patch handmatig toepassen als automatische updates niet zijn ingeschakeld. Het bedrijf adviseert deze klanten om de update onmiddellijk te installeren, ook al heeft interne testen geen directe exploitatie van de kwetsbaarheid in Privileged Remote Access aangetoond. Omdat beide producten dezelfde code delen, is de patch uit voorzorg ook voor de laatste oplossing vrijgegeven.
Onderzoekers van Mandiant en de Google Threat Intelligence Group hebben de aanvallen toegeschreven aan een verdachte Chinese spionageactor. Deze groep staat bekend onder de namen Armory Castle, voorheen UNC5221, en wordt door CrowdStrike aangeduid als Warp Panda. De aanvallers gebruikten de fout om toegang te krijgen tot netwerken en verhoogden hun rechten tot root-niveau door SUID-permissies in te schakelen. Vervolgens plaatsten ze nieuwe malware, waaronder een web shell genaamd Sawfly en een tunneler genaamd Bareclaw. Ze wisden logs om detectie te vermijden en bewogen zijwaarts door het netwerk met behulp van gecompromitteerde beheerdersgegevens.
Volgens Mandiant kregen de aanvallers na het plaatsen van de web shell volledige controle over de apparaten. Dit gaf hen toegang tot alle bewaarde of bemiddelde inloggegevens en de mogelijkheid om bestanden te wijzigen die na een herstart of reset bleven bestaan. Het bedrijf adviseert dat elk apparaat dat tijdens de exploitatieperiode bereikbaar was via het internet en een kwetsbare versie draaide, als mogelijk gecompromitteerd moet worden beschouwd totdat het is gecontroleerd. De internetbewaker Shadowserver houdt meer dan 1400 Remote Support-instanties bij die online blootstaan, maar geeft geen informatie over hoeveel daarvan al zijn beveiligd of honeypots zijn.
Deze kwetsbaarheid is de nieuwste in een reeks problemen bij BeyondTrust die in de afgelopen jaren in de wildernis zijn uitgebuit. Onlangs maakten aanvallers gebruik van een andere kritieke kwetsbaarheid in Remote Support en Privileged Remote Access om ransomware te verspreiden. Ook wordt aangenomen dat de Chinese staatsgestuurde groep Silk Typhoon twee zero-days heeft gebruikt om toegang te krijgen tot de systemen van BeyondTrust. Hiermee compromitteren ze 17 SaaS-instanties van Remote Support, waaronder die van het Amerikaanse ministerie van Financiën. BeyondTrust levert identiteitsbeveiligingsdiensten aan meer dan 20.000 klanten wereldwijd, waaronder overheidsinstanties en 75 procent van de Fortune 100-bedrijven.