LONDON (IT BOLTWISE) – Eine von China-nexus-Aktivisten betriebene Gruppe soll eine Zero-Day-Lücke in BeyondTrust Remote Support ausgenutzt haben, um Remote-Support-Appliances zu übernehmen. Laut Meldung betraf die Schwachstelle die unzureichende Prüfung der Nachrichtenherkunft in einem internen Messaging-Baustein und erreichte den CVSS-Score 9,3. BeyondTrust hat Patches für Remote-Support-SaaS ausgeliefert und fordert Betreiber selbst gehosteter Instanzen je nach Version zu manuellen Updates auf. Unklar bleibt vorerst, wie weit sich die Nutzung über weitere Ziele erstreckt, doch es gilt ein klarer Hinweis: erreichbare Systeme im betroffenen Zeitfenster sollen geprüft werden.
Betreiber von Remote-Support-Plattformen müssen sich aktuell mit einem besonders riskanten Muster auseinandersetzen: Eine Zero-Day-Schwachstelle in BeyondTrust Remote Support (früher Bomgar) soll gezielt dafür genutzt worden sein, die Kontrolle über selbst gehostete Appliances zu übernehmen. In den Angaben wird die Gruppe Armory Castle als Akteur im Umfeld von China-nexus Cyber-Espionage geführt; laut BeyondTrust und den ergänzenden Analysen eines Threat-Intelligence-Teams setzte der Angreifer die neu offengelegte Lücke als Zero-Day bereits Ende August 2026 ein. Technisch handelt es sich dabei um CVE-2026-102764 mit einem CVSS-Score von 9,3, also um eine Sicherheitslücke mit hohem Exploit-Potenzial.
Ausgangspunkt der Angriffe ist eine fehlerhafte Validierung der Nachrichtenherkunft in einem internen Messaging-Komponenten-Teil von Remote Support. Das relevante Problem: Unter bestimmten Bedingungen validieren die Komponenten nicht ausreichend, wo Nachrichten wirklich herkommen, sodass ein externer Angreifer per manipuliertem Input Dateioperationen auf einer betroffenen Appliance durchführen könnte. Genau dieses Wirkprinzip ist für Unternehmen besonders unangenehm, weil Remote Support typischerweise nicht nur für die Administration genutzt wird, sondern häufig auch als Brücke in interne Netzsegmente fungiert. Wenn die Angriffsoberfläche zudem Systeme umfasst, die aus dem Internet erreichbar sind, sinkt die Hürde für kompromittierende Zugriffe.
BeyondTrust adressierte die Lücke laut eigenen Angaben mit Patches für alle Remote-Support-SaaS-Kunden, die bis zum 9. Oktober 2026 verteilt wurden. Für Self-hosted-Kunden gilt eine klare Versionslogik: Wer Remote Support in einem Bereich von 24.3.1 bis 26.2.3 betreibt, soll auf den Patch BT26-05-RS manuell aktualisieren; ältere Versionen benötigen dagegen ein Upgrade auf eine neuere Hauptversion, um den Fix anwenden zu können. Laut einer von BeyondTrust bereitgestellten Ereigniszeitleiste soll Armory Castle die Schwachstelle am 29. August 2026 auf genau einer selbst gehosteten Appliance ausgenutzt haben. Gleichzeitig heißt es, dass am 27. September 2026 „erfolgreiche Ausnutzung“ weiterer Geräte von anderen Security-Anbietern öffentlich wurde, woraufhin eine weitergehende Suche nach ähnlichen Aktivitäten angestoßen wurde.
Für die Einordnung hilft der Blick auf das bisherige Angriffsmuster: Armory Castle wird mit einer Historie in Verbindung gebracht, bei der Zero-Days in anderen Netzwerk- und Zugriffskomponenten missbraucht wurden. Genannt werden etwa Citrix NetScaler (CVE-2023-4966) sowie Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887 und CVE-2025-0282). Laut BeyondTrust verfolgen solche Akteure eine selektive Strategie: Der Zugriff werde gezielt gegen ausgewählte Ziele betrieben; sobald eine Schwachstelle öffentlich bekannt ist, wechselt der Angreifer typischerweise zu einer breiteren Ausnutzung aller Instanzen, die noch ungepatcht sind. Diese Logik passt auch zu dem beschriebenen Zeitfenster, denn der kritische Teil liegt weniger im Patch-Release selbst als in der Phase zwischen erster Aktivität und allgemeiner Absicherung.
Wie eine erfolgreiche Kompromittierung technisch abläuft, wird in den ergänzenden Analysen detailliert beschrieben. Nach einem erfolgreichen Eindringen soll der Angreifer einen leichten PHP-Webshell namens SAWFLY einsetzen, um interaktiven Remote-Zugriff sowie bidirektionale, verschlüsselte Command-and-Control-Kommunikation aufzubauen. Für die Tarnung werden dabei kommerzielle VPN-Exit-Nodes und kompromittierte Router aus privaten Umgebungen und kleinen Büros genutzt, um den Datenverkehr in „normale“ Muster einzubetten. Danach zielt das Vorgehen darauf ab, Rechte auszubauen, Persistenz herzustellen und die Kontrolle so zu sichern, dass Neustarts die Zugänglichkeit nicht beenden. Dabei wird auch Credential-Theft als Kernstrategie beschrieben, unter anderem durch das Auslesen gespeicherter Secrets und den Missbrauch administrativer Zugriffswege, um Bewegungen im Zielnetzwerk anzustoßen.
Im beschriebenen Post-Exploitation-Ablauf tauchen mehrere technische Schritte auf, die für SOC-Teams und Incident-Responder in der Praxis relevant sind. Dazu gehört die Übernahme von Root-Level-Kontrolle auf dem Appliance-Host, indem der System-Shell-Executable (/bin/sh) in eine Start-/Dienst-ähnliche Position kopiert und per Ownership-Änderung plus Set-UID-Mechanismus so konfiguriert wird, dass die Shell mit den Privilegien des neuen Besitzers läuft. Ebenfalls genannt wird der Zugriff auf eine proprietäre CLI zur Secrets-Verwaltung (bt-secrets), wodurch Passwörter, API-Keys und Endpunkt-Anmeldedaten abgegriffen werden sollen. Zusätzlich wird ein Proxy-Tunneling-Ansatz beschrieben: BARECLAW, eine C-basierte benutzerdefinierte SOCKS5-Proxy-Tunneler-Komponente, soll TCP-Verbindungen zwischen einem Remote-Client und Zielen weiterleiten; dazu wird Konfiguration wie /ns/config/haproxy.conf so angepasst, dass der Proxy direkt aus dem Internet erreichbar ist. Parallel werden Spuren beseitigt, unter anderem durch systematisches Löschen von Logs auf System-, Webserver- und Applikationsebene.
Für Unternehmen ergibt sich daraus vor allem ein operativer Handlungsdruck: Systeme, die in der Ausnutzungsphase verwundbar waren und aus dem Internet erreichbar sind, sollen wie potenziell kompromittiert behandelt und geprüft werden, bis eine Überprüfung stattgefunden hat. Damit verschiebt sich der Schwerpunkt vom reinen „Patchen“ hin zu einer Sicherheitsvalidierung der betroffenen Umgebung. In einer typischen Remote-Support-Architektur sind nicht nur die Appliance selbst, sondern auch Authentifizierungspfade, Jump-Item-Listen, interne Endpunkte und Kommunikationswege entscheidend; genau an diesen Stellen setzt der Angriffsplan an, um Datenabfluss für Netzwerk-Reconnaissance vorzubereiten. Wer jetzt nur punktuell aktualisiert, riskiert, dass persistente Komponenten oder geänderte Konfigurationen unentdeckt bleiben.
Aus Branchenperspektive ist zudem bemerkenswert, wie stark die Angriffe auf die spezifische Appliance-Interne ausgerichtet sind. Laut den Forschenden belegt der Missbrauch proprietärer CLI-Utilities, lokaler Reverse-Proxy-Routing-Mechanismen sowie Startup-Konfigurationstemplates, dass der Angreifer die Produktlogik im Detail versteht. Das ist ein weiterer Hinweis darauf, dass solche Vorfälle nicht mit „Standard-Indicators“ allein zu bewerten sind, sondern eine differenzierte Prüfung erfordern. Kurzfristig sollten IT- und Security-Teams die Patchstände gegen die genannten Versionen abgleichen, betroffene Instanzen aus dem Internetzugriff temporär einschränken (sofern betrieblich möglich) und anschließend nach Zeichen für Webshell-Einsatz, Proxy-Tunneling und manipulierte Startkonfiguration suchen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "BeyondTrust Zero-Day: Hacker übernehmen Remote-Support-Appliances" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "BeyondTrust Zero-Day: Hacker übernehmen Remote-Support-Appliances" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »BeyondTrust Zero-Day: Hacker übernehmen Remote-Support-Appliances« bei Google Deutschland suchen, bei Bing oder Google News!