BeyondTrust Remote Support: Zero-Day CVE-2026-102764 seit August ausgenutzt

Wer BeyondTrust Remote Support selbst betreibt, sollte heute handeln: Die Sicherheitslücke CVE-2026-102764 wurde nach Erkenntnissen von Mandiant bereits seit Ende August 2026 als Zero-Day ausgenutzt, seit dem 15. Oktober gibt es den Patch BT26-05. Betroffen sind laut NVD alle Versionen bis einschließlich 26.2.3. Für SaaS-Kunden hat BeyondTrust die Korrektur bereits serverseitig eingespielt, selbst gehostete Appliances müssen dagegen aktiv geprüft und gepatcht werden, sofern keine automatischen Updates aktiv sind.

Ein Patch allein reicht allerdings nicht. Mandiant rät, jede Appliance, die im Ausnutzungszeitraum mit verwundbarer Version aus dem Internet erreichbar war, bis zur Prüfung als potenziell kompromittiert zu behandeln. Die Angreifer erlangten Root-Rechte auf dem Gerät und damit Zugriff auf alle dort gespeicherten oder vermittelten Zugangsdaten. Nicht betroffen ist, wer kein BeyondTrust Remote Support einsetzt. Für Privileged Remote Access (PRA) gibt es nach Herstellerangaben keinen bekannten Ausnutzungsweg, der Patch wird vorsorglich trotzdem empfohlen.

Was ist passiert?

BeyondTrust hat am 15. Oktober 2026 das Advisory BT26-05 veröffentlicht. Laut NVD-Eintrag haben interne Komponenten von Remote Support die Herkunft empfangener Nachrichten nicht ausreichend geprüft. Unter bestimmten Bedingungen lassen sich dadurch Dateioperationen auf der Appliance ausführen. CISA stuft sie als Authentifizierungsumgehung durch Spoofing (CWE-290) ein und hat sie am 16. Oktober in den Katalog der aktiv ausgenutzten Schwachstellen (KEV) aufgenommen. US-Bundesbehörden müssen bis 19. Oktober reagieren und forensisch prüfen.

Entdeckt wurde die Ausnutzung bei einem Incident-Response-Einsatz von Mandiant. Die Google Threat Intelligence Group (GTIG) ordnet die Angriffe der mutmaßlich chinesischen Spionagegruppe ARMORY CASTLE zu, früher als UNC5221 geführt. CrowdStrike bezeichnet die Gruppe laut BleepingComputer als Warp Panda. Laut einer von BeyondTrust veröffentlichten Zeitleiste, über die The Hacker News berichtet, nutzten die Angreifer die Lücke am 29. August 2026 zunächst gegen eine einzelne selbst gehostete Appliance aus.

So gingen die Angreifer vor

Laut Mandiant ermöglicht die Lücke das Hochladen beliebiger Dateien. Darauf bauten die Angreifer eine vollständige Übernahme auf:

• Ablage der PHP-Webshell SAWFLY (Datei mangoapi.php) im Webverzeichnis der Laravel-Anwendung.
• Rechteausweitung zu Root über eine Kopie von /bin/sh unter /usr/bin/dbus-authd mit gesetztem SUID-Bit.
• Versuche, den Zugangsdaten-Tresor der Appliance mit dem herstellereigenen Werkzeug /ns/sbin/bt-secrets auszulesen.
• Persistenz über ein Startskript zz-root-persist in /home/bomgar/sbin/post_boot.d für passwortlose Root-Rechte, das Neustarts und Konfigurations-Resets übersteht.
• Anmeldung mit kompromittierten Administratorkonten, Anhebung der Jump-Item-Rolle von No Access auf Administrator und Fernsitzungen auf nachgelagerte Systeme samt Dateiabfluss.
• Tunnel über den SOCKS5-Proxy BARECLAW, per Änderung an /ns/config/haproxy.conf direkt aus dem Internet erreichbar gemacht.
• Löschen von System-, Webserver- und Anwendungsprotokollen.

Wer ist betroffen und wer nicht?

Betroffen sind selbst gehostete Installationen von BeyondTrust Remote Support (früher Bomgar) bis Version 26.2.3, als virtuelle Appliance oder als Hardware. Für Versionen ab 24.3.1 steht der Patch BT26-05-RS bereit. Wer eine ältere Version als 24.3.1 betreibt, muss zunächst auf eine unterstützte Version aktualisieren und danach patchen. Verwundbare Versionen hat BeyondTrust laut Kundenportal aus dem Download genommen, Version 25.1.7 bleibt als Zwischenschritt verfügbar.

Remote-Support-SaaS-Instanzen hat BeyondTrust laut Mandiant am 9. Oktober 2026 gepatcht, BleepingComputer nennt den 8. Oktober. Die Prüfung von Konten und Konfiguration empfiehlt Mandiant dort trotzdem. Privileged Remote Access teilt den betroffenen Code. BeyondTrust hat nach eigenen Angaben keinen Ausnutzungsweg in PRA gefunden, liefert aber vorsorglich einen Patch aus und empfiehlt selbst gehosteten PRA-Kunden die sofortige Installation. Wer weder Remote Support noch PRA einsetzt, etwa nur andere BeyondTrust-Produkte wie Password Safe, ist von dieser Lücke nicht direkt betroffen.

Wie kritisch ist das?

Sehr kritisch, für selbst gehostete Remote-Support-Appliances ist das ein Fall für heute und nicht für das nächste Wartungsfenster. Der CVSS-4.0-Wert liegt bei 9.3, Angriffe sind ohne Anmeldung und ohne Nutzerinteraktion über das Netzwerk möglich. Technisch ist es eine Authentifizierungsumgehung mit Dateizugriff, die in der beobachteten Angriffskette zu Codeausführung und voller Kontrolle über das Gerät führte. Da Fernwartungssysteme Zugänge zu vielen Endgeräten bündeln, öffnet ein kompromittiertes Gerät die Tür ins ganze Netz.

Gesichert sind die aktive Ausnutzung (KEV-Eintrag, Mandiant-Bericht) und die betroffenen Versionen bis 26.2.3. Offen ist, wie viele Organisationen betroffen sind. Shadowserver zählt laut BleepingComputer mehr als 1.400 aus dem Internet erreichbare BeyondTrust-Remote-Support-Instanzen, ohne Angabe zum Patchstand. Mandiant erwartet nach der Veröffentlichung eine breite, opportunistische Ausnutzung.

Was sollten Admins jetzt tun?

• Inventar prüfen: Alle Remote-Support- und PRA-Instanzen erfassen, Version in der Oberfläche /appliance ablesen und feststellen, ob BT26-05 bereits automatisch eingespielt wurde.
• Patch BT26-05-RS sofort einspielen. Bei Versionen unter 24.3.1 zuerst auf eine unterstützte Version aktualisieren.
• Selbst gehostetes PRA ebenfalls patchen, auch ohne bekannten Angriffsweg.
• Bei Verdacht zuerst sichern: Snapshot mit Arbeitsspeicher sowie Syslog-, Proxy- und Firewall-Protokolle seit Ende August, da lokale Logs gelöscht wurden.
• Kompromittierte oder ungeklärte Geräte nach Empfehlung von Mandiant neu aufsetzen statt bereinigen, aus einem sauberen, gepatchten Image und mit neuem TLS-Zertifikat.
• Zugangsdaten erst nach Patch oder Neuaufbau rotieren: Administratorkonten, API-Secrets, SAML-Schlüssel, Vault-Einträge und Zugangsdaten, die während Sitzungen eingegeben wurden.
• Konfiguration gegen einen Stand vor dem Zeitraum vergleichen: angehobene Jump-Item-Rollen, neue API-Konten, geänderte Syslog-Ziele und unbekannte Benutzer.
• Die Admin-Oberflächen /login und /appliance per IP oder Netzsegment einschränken und Single Sign-on mit phishingresistenter MFA erzwingen.
• Syslog per TLS an ein SIEM weiterleiten und auf Lücken in der Protokollierung achten.

Einordnung für Unternehmen

Für kleine und mittlere Unternehmen ist vor allem der indirekte Weg relevant. Viele IT-Dienstleister und Systemhäuser nutzen Fernwartungslösungen wie BeyondTrust, um Kundensysteme zu betreuen. Wer selbst keine Appliance betreibt, sollte beim Dienstleister nachfragen, ob dort Remote Support läuft, BT26-05 installiert und die Kompromittierungsprüfung abgeschlossen ist. Grundsätzlich gilt: Eine strikte Trennung der Admin-Oberflächen vom Internet, ein externes Log-Archiv und Zugangsdaten außerhalb der Appliance begrenzen den Schaden.

Passende Anleitungen auf S-EDV

• Wazuh per Docker als XDR und SIEM betreiben: zentrale Protokollsammlung, damit gelöschte Logs auf der Appliance nicht die einzige Spur sind.
• JumpServer als Bastion-Host für privilegierte Zugriffe: Grundlagen für abgeschottete Admin-Zugänge mit Protokollierung.
• Ivanti Connect Secure: Zero-Day mit Zugriff auf AD-Zugangsdaten: ein weiterer aktueller Fall, in dem ein Edge-Gerät zum Einfallstor wurde.

Quellen

• Google Threat Intelligence Group und Mandiant: ARMORY CASTLE Exploits BeyondTrust (15.10.2026)
• NIST NVD: CVE-2026-102764
• CISA Known Exploited Vulnerabilities: Eintrag vom 16.10.2026
• BeyondTrust Security Advisory BT26-05
• BleepingComputer: BeyondTrust patcht seit August ausgenutzte Zero-Day-Lücke
• The Hacker News: China-nahe Angreifer nutzten BeyondTrust-Zero-Day aus