Kritiek lek in BeyondTrust Remote Support sinds augustus misbruikt bij aanvallen

In dit artikel:

Een kritieke kwetsbaarheid in BeyondTrust Remote Support, CVE-2026-102764, is sinds 29 augustus actief misbruikt. Het lek maakt een authenticatieomzeiling mogelijk, waardoor aanvallers zonder geldige inloggegevens toegang kunnen krijgen tot een Remote Support-server. Daarmee kunnen beheerders desktops, servers en smartphones op afstand beheren.

BeyondTrust ontdekte het probleem na een succesvolle aanval op 27 september op een andere beveiligingsleverancier. Op 8 oktober bracht het bedrijf patch BT26-05 uit. SaaS-klanten kregen de update automatisch; organisaties met een self-hosted installatie moeten die zelf installeren. Het bestaan van de kwetsbaarheid en de aanvallen werd pas later openbaar gemaakt.

Bij de aanvallen plaatsten de daders een webshell op gehackte servers om toegang te behouden. Ze wisten hun rechten te verhogen tot rootniveau, waardoor ze volledige controle kregen over het systeem, opgeslagen inloggegevens konden stelen en wijzigingen konden aanbrengen die een herstart of reset overleven. Volgens Mandiant haalden de aanvallers credentials rechtstreeks uit de secretsmanagementdatabase, verwijderden ze logbestanden en stalen ze gevoelige documenten van systemen die via Remote Support werden beheerd.

Mandiant schrijft de aanvallen toe aan een aan China gelieerde groep. Het bedrijf adviseert organisaties om elke BeyondTrust-server die in de kwetsbare periode vanaf internet bereikbaar was voorlopig als gehackt te behandelen en forensisch te onderzoeken. Daarvoor zijn Indicators of Compromise beschikbaar. Volgens het Amerikaanse cyberagentschap CISA zijn daarnaast drie andere kwetsbaarheden in Remote Support bij aanvallen misbruikt.