---
title: Hakerzy powiązani z Chinami wykorzystali lukę zero-day w BeyondTrust do przejęcia serwerów wsparcia zdalnego
url: https://www.dataloco.com/pl/hakerzy-powiazani-z-chinami-wykorzystali-luke-zero-day-w-beyondtrust-do-przejecia-serwerow-wsparcia-zdalnego
published: 2026-10-19T07:49:30+00:00
language: pl
section: Bezpieczeństwo
source: https://thehackernews.com/2026/10/china-linked-hackers-exploited.html
organizations: BeyondTrust, Mandiant, Google Threat Intelligence Group, CISA
publisher: Dataloco
---

# Hakerzy powiązani z Chinami wykorzystali lukę zero-day w BeyondTrust do przejęcia serwerów wsparcia zdalnego

Grupa szpiegowska Armory Castle, znana wcześniej jako UNC5221 lub Warp Panda i powiązana z Chinami, wykorzystała nowo ujawnioną lukę bezpieczeństwa w BeyondTrust Remote Support, wcześniej nazywanym Bomgar. Atak z wykorzystaniem luki typu zero-day miał miejsce pod koniec sierpnia 2026 roku.

Podatność oznaczona jako CVE-2026-102764 posiada wynik CVSS na poziomie 9,3. Jest to przypadek niewłaściwej walidacji pochodzenia w wewnętrznym komponencie przesyłania wiadomości. Zdalny napastnik mógł wykorzystać ten błąd do wykonywania operacji na plikach w dotkniętym urządzeniu.

BeyondTrust poinformował, że luki dotyczyły wewnętrznych komponentów Remote Support, które nie weryfikowały w odpowiedni sposób pochodzenia otrzymywanych wiadomości. Według harmonogramu zdarzeń, Armory Castle wykorzystał tę lukę 29 sierpnia 2026 roku na jednym urządzeniu Remote Support w wersji hostowanej samodzielnie.

Poprawki dla klientów korzystających z modelu SaaS zostały wdrożone do 9 października 2026 roku. Klienci korzystający z wersji hostowanych samodzielnie od 24.3.1 do 26.2.3 powinni ręcznie zainstalować poprawkę BT26-05-RS, natomiast użytkownicy wersji starszych niż 24.3.1 muszą zaktualizować oprogramowanie do nowszej wersji.

Mandiant wskazał, że po udanym przejęciu systemu wdrażany był lekki web shell w języku PHP o nazwie SAWFLY. Służył on do interaktywnego zdalnego dostępu oraz dwukierunkowej, szyfrowanej komunikacji z centrum dowodzenia. Napastnicy używali komercyjnych węzłów wyjściowych VPN oraz przejętych routerów domowych i biurowych, aby ukryć ruch. Web shell pozwalał na eskalację uprawnień, uzyskanie pełnej kontroli administracyjnej nad urządzeniem oraz zapewnienie trwałości dostępu po ponownym uruchomieniu systemu.

Intruz dążył do kradzieży poświadczeń poprzez odczytywanie zapisanych sekretów urządzenia oraz wykorzystywanie dostępu administracyjnego do dotarcia do systemów końcowych i przemieszczania się wewnątrz sieci. Badacze z Mandiant oraz Google Threat Intelligence Group zauważyli, że Armory Castle wykazało się głęboką wiedzą na temat wnętrza urządzeń BeyondTrust, nadużywając zastrzeżonych narzędzi wiersza poleceń, szablonów konfiguracji startowej i lokalnego routingu odwrotnego proxy.

Amerykańska Agencja ds. Cyberbezpieczeństwa i Infrastruktury CISA wydała 16 października 2026 roku ostrzeżenie, wzywając organizacje do natychmiastowego działania. CVE-2026-102764 zostało dodane do katalogu znanych wykorzystanych podatności, co nakłada na agencje Federalnej Cywilnej Gałęzi Wykonawczej obowiązek zastosowania poprawek do 19 października 2026 roku.

## This story in other languages

- [Italiano](https://www.dataloco.com/it/hacker-cinesi-sfruttano-zero-day-beyondtrust-per-prendere-il-controllo-dei-server-di-supporto-remoto)
- [עברית](https://www.dataloco.com/he/beyondtrust)
- [Deutsch](https://www.dataloco.com/de/chinesische-spionagegruppe-nutzte-zero-day-lucke-in-beyondtrust-fur-serverubernahme)
- [Español](https://www.dataloco.com/es/hackers-vinculados-a-china-explotaron-un-fallo-de-dia-cero-en-beyondtrust-para-tomar-el-control-de-servidores-de-soporte-remoto)