Нападателят е влязъл на 29 август. Поправката дойде 40 дни по-късно, на 8 октомври. Обявата - още седем дни след нея.
Така подрежда нещата самата BeyondTrust. На 29 август групата използвала нулев ден срещу един екземпляр на Remote Support, хостван от компанията, и един самостоятелно хостван уред. Следите са открити на 28 септември при лов на заплахи, а облачният екземпляр е изолиран за 27 минути от първото откриване.
Факт
Фактите: на 15 октомври 2026 г. BeyondTrust публикува бюлетин за сигурност BT26-05 и CVE-2026-102764 за критична уязвимост в Remote Support. По описанието в NVD компонентите не са проверявали достатъчно откъде идват получените съобщения и при определени условия това може да позволи на нападател да прави операции с файлове върху устройството. BeyondTrust ѝ дава 9.3 по CVSS-B (критична); NVD води засегнати версиите на Remote Support до 26.2.3 включително. Поправката по бюлетина е пачът BT26-05-RS за версиите от 24.3.1 до 26.2.3; който е на по-стара от 24.3.1, трябва първо да мине на по-нова версия. По данни на BeyondTrust подозирана шпионска група с връзки към Китай е използвала нулев ден на 29 август срещу един хостван от компанията екземпляр и един самостоятелно хостван уред. На 28 септември компанията изолирала облачния екземпляр, на 8 октомври пуснала поправката BT26-05 (облачните екземпляри били обновени автоматично), а на 15 октомври обявила дупката координирано. Компанията знае само за двамата засегнати клиенти и не е виждала активност на нападателя от август. Тя оценява с умерена до висока увереност, че става дума за групата, която Google Threat Intelligence Group и Mandiant следят като UNC5221 (сега ARMORY CASTLE), а CrowdStrike - като WARP PANDA. Вътрешните ѝ тестове не са намерили начин за атака срещу Privileged Remote Access, но кодът е общ и поправка има и за него. Техническите подробности се задържат, докато уредите се обновяват. На 16 октомври CISA вписа CVE-2026-102764 в каталога на експлоатираните уязвимости (KEV) със срок 19 октомври за гражданските федерални агенции в САЩ. Каталогът по директивата BOD 26-04 изисква и криминалистична проверка дали системата вече е пробита.
Групата пази нулевия ден за подбрани цели. Щом дупката стане публична, по думите на BeyondTrust тя обикновено минава към масови атаки срещу всеки необновен екземпляр. Mandiant, пак според BeyondTrust, предупреждава да се очаква същото и тук.
Докато дупката е тайна, нападателят избира цели. Щом стане публична, цел е всеки необновен.
BeyondTrust признава и неприятна подробност за собствената си защита. По нейно описание сензорите са задействали алармите, когато нападателят е вдигнал правата си, но автоматичният триаж в платформа на външен доставчик ги е затворил като фалшиви. Всеки, който е пускал хора през врата, знае защо пред алармата стои филтър: иначе звъни за всичко. Тук филтърът е изхвърлил точно истинската.
Mandiant публикува свой анализ същия ден. Тук не го преразказвам, защото не съм го отварял. Кои са двамата клиенти и как точно става атаката, BeyondTrust също не казва.
BT26-05 е първата работа днес за всеки, който държи Remote Support или Privileged Remote Access на собствен сървър; облачните екземпляри вече са обновени. После дневниците. Изпращай ги извън уреда, защото по думите на BeyondTrust групата трие локалните и копието навън често е единственото, което остава.
Източници
BeyondTrust - ARMORY CASTLE and BT26-05 (CVE-2026-102764), 15.10.2026BeyondTrust - бюлетин за сигурност BT26-05, Trust CenterNVD - CVE-2026-102764CISA KEV (CVE-2026-102764)Визуалът към статията е генериран код-арт, без чужди изображения.