BeyondTrust Remote Support: Zero-Day-Lücke wird seit August ausgenutzt

Eine mutmaßlich mit China verbundene Spionagegruppe hat ab dem 29. August 2026 eine unbekannte Lücke in BeyondTrust Remote Support ausgenutzt. Das gaben BeyondTrust und die Sicherheitsteams von Google am 15. und 16. Oktober bekannt. Remote Support ist das Werkzeug, mit dem IT-Helpdesks die Kontrolle über die Computer von Mitarbeitern übernehmen. Ein gehackter Server kann deshalb viele Rechner erreichen. Die Lücke wird als CVE-2026-102764 geführt und mit 9,3 von 10 bewertet. Cloud-Kunden sind bereits gepatcht, selbst gehostete Server brauchen aber ein manuelles Update.

BeyondTrust, früher als Bomgar bekannt, hat nach eigenen Angaben mehr als 20.000 Kunden, berichtet BleepingComputer. Die Internet-Scan-Organisation Shadowserver zählt mehr als 1.400 Remote-Support-Server, die online erreichbar sind.

Was die Lücke bewirkt

Der Fehler steckt in einer internen Messaging-Komponente von Remote Support. „Die Komponenten haben die Herkunft der empfangenen Nachrichten nicht ausreichend geprüft“, erklärte BeyondTrust laut The Hacker News. In der Praxis kann ein Angreifer ohne Anmeldung Dateien auf die Appliance hochladen und dort ändern. BleepingComputer beschreibt das als Umgehung der Authentifizierung. Der Angreifer überspringt also den Login-Schritt vollständig.

BeyondTrust bemerkte den Angriff erstmals am 29. August bei einer selbst gehosteten Appliance. Das Unternehmen begann mit der Suche, nachdem am 27. September öffentlich bekannt wurde, dass Geräte eines anderen Sicherheitsanbieters ausgenutzt wurden, so The Hacker News. Laut BeyondTrust „setzt der Angreifer eine Zero-Day-Lücke gezielt gegen ausgewählte Ziele ein“.

Wer dahintersteckt und was die Angreifer taten

Google Threat Intelligence Group und Mandiant ordnen die Angriffe einer Gruppe zu, die sie ARMORY CASTLE nennen. Google bezeichnet sie als mutmaßlich China-nahen Spionageakteur, der seit Oktober 2023 aktiv ist und früher als UNC5221 geführt wurde. CrowdStrike nennt dieselbe Gruppe laut BleepingComputer Warp Panda.

Googles Bericht listet die Schritte auf, die die Angreifer nach dem Eindringen unternahmen:

• Eine Web-Shell. Etwa 11 Minuten nach der ersten Anfrage platzierten sie SAWFLY, ein kleines Programm, mit dem sie Befehle über das Web ausführen können.
• Root-Zugriff. Sie erstellten eine spezielle Kopie der System-Shell, die mit vollen Administratorrechten läuft.
• Gestohlene Geheimnisse. Sie zogen Zugangsdaten aus dem eingebauten Passwort-Tresor der Appliance.
• Ein versteckter Tunnel. Sie installierten BARECLAW, einen Proxy auf Port 19800, und änderten die Einstellungen des Webservers, sodass er aus dem Internet erreichbar war.
• Persistenz und Spurenbeseitigung. Ein Boot-Skript verschaffte ihnen einen Admin-Login ohne Passwort, und sie löschten fortlaufend Protokolle.

Google warnt, dass weitere Angriffe folgen könnten. „Organisationen sollten sich nach dieser Veröffentlichung auf eine mögliche breite Ausnutzung vorbereiten“, heißt es in dem Bericht.

Welche Versionen den Patch brauchen

Bereitstellung	Status	Was zu tun ist
Remote Support Cloud (SaaS)	Von BeyondTrust gepatcht	Nichts zu installieren
Selbst gehostet 24.3.1 bis 26.2.3	Verwundbar	Patch BT26-05-RS einspielen
Selbst gehostet, älter als 24.3.1	Verwundbar	Erst upgraden, dann patchen
Privileged Remote Access	Laut BeyondTrust kein bekannter Weg zur Ausnutzung	Cloud-Instanzen wurden ebenfalls gepatcht

Die Quellen nennen unterschiedliche Termine dafür, wann Cloud-Kunden den Fix erhielten. BleepingComputer nennt den 8. Oktober, The Hacker News und Google dagegen den 9. Oktober.

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) nahm die Lücke am 16. Oktober in ihre Liste bekannter ausgenutzter Schwachstellen auf. Zivile Bundesbehörden müssen sie bis zum 19. Oktober beheben, berichtet The Hacker News.

Was das für Entwickler bedeutet

Wenn Ihr Unternehmen einen eigenen Remote-Support-Server betreibt, behandeln Sie dies als Notfall, nicht als Routine-Update. Automatische Updates sind möglicherweise ausgeschaltet, und BleepingComputer weist darauf hin, dass diese Server den Patch von Hand brauchen.

Patchen allein reicht nicht. Mandiant sagt, eine exponierte Appliance „sollte als potenziell kompromittiert behandelt werden, bis sie überprüft wurde“. Das bedeutet:

1. Installieren Sie BT26-05-RS noch heute, falls nötig nach einem Upgrade auf 24.3.1 oder neuer.
2. Suchen Sie nach den Werkzeugen der Angreifer. Googles Bericht veröffentlicht Datei-Hashes für die Web-Shell und beschreibt den BARECLAW-Tunnel auf Port 19800. Prüfen Sie die Webserver-Einstellungen auf Routen, die Sie nicht selbst angelegt haben.
3. Tauschen Sie jedes Geheimnis aus, das die Appliance gespeichert hatte. Die Angreifer haben ihren Zugangsdaten-Tresor ausgelesen, daher sollte jedes dort gespeicherte Passwort und jeder Schlüssel geändert werden.
4. Prüfen Sie, wo diese Zugangsdaten funktionieren. Ein Support-Tool erreicht viele Rechner. Suchen Sie daher nach Anmeldungen von der Appliance auf anderen Systemen seit Ende August.

Der Angriff folgt auf die verketteten Zero-Day-Lücken in Ivanti Connect Secure Anfang dieser Woche. Fernzugriffs-Tools sitzen mit weitreichenden Befugnissen am Rand des Netzwerks, was sie zu einem beliebten Ziel macht. Wenn Sie Ihres hinter ein VPN oder eine Positivliste von Adressen stellen können, tun Sie das jetzt.