ثغرة يوم صفر في BeyondTrust استُغلت منذ أغسطس من قراصنة مرتبطين بالصين

صحّحت BeyondTrust ثغرة يوم صفر لتجاوز المصادقة، معروفة بالرمز CVE-2026-102764، كانت مجموعة تجسس يُشتبه بارتباطها بالصين تستغلها في BeyondTrust Remote Support منذ أواخر أغسطس 2026، وفقاً لأبحاث من Mandiant ومجموعة استخبارات التهديدات في جوجل نُشرت هذا الأسبوع. تؤثر الثغرة على إصدار BeyondTrust Remote Support (RS) 26.2.3 والإصدارات الأقدم؛ تمت تغطية عملاء Privileged Remote Access SaaS تلقائياً.

تنسب فرق استخبارات التهديدات في Mandiant وجوجل الهجمات إلى مجموعة تسمّيها Armory Castle، كانت تُعرف سابقاً باسم UNC5221 وتسميها CrowdStrike بـWarp Panda. في الاختراقات المرصودة، استخدم المهاجمون تجاوز المصادقة للوصول إلى الأجهزة غير المحدّثة، ثم نشروا web shell للتصعيد من موقع بعيد غير مميّز إلى صلاحيات root كاملة. من هناك، ثبّتوا عائلتين من البرمجيات الخبيثة المخصصة، Sawfly وBareclaw، ومحوا السجلات لإخفاء آثارهم، وتحركوا جانبياً عبر شبكات الضحايا باستخدام بيانات اعتماد مسؤول مُخترَقة.

تنبع الخطورة من طبيعة ما صُمم جهاز BeyondTrust Remote Support للاحتفاظ به: الوصول بصلاحيات root يكشف كل بيانات الاعتماد التي يخزّنها الجهاز أو يتوسّط فيها لصالح المؤسسات التي تستخدمه للوصول البعيد المميّز. توصي Mandiant بمعاملة أي جهاز متاح عبر الإنترنت كان يشغّل إصداراً ثغرة خلال نافذة الاستغلال التي امتدت نحو سبعة أسابيع كجهاز قد يكون مُخترَقاً إلى أن تتم مراجعته بشكل مستقل، بدلاً من افتراض سلامته لمجرد أنه تم تصحيحه منذ ذلك الحين. أحصت خدمة المسح الأمني Shadowserver أكثر من 1,400 نسخة من BeyondTrust Remote Support مكشوفة حالياً على الإنترنت.

دفعت BeyondTrust الإصلاح إلى عملاء SaaS في 8 أكتوبر 2026. يجب على المؤسسات التي تشغّل تثبيتات مُستضافة ذاتياً دون تحديثات تلقائية مفعّلة تطبيق التصحيح يدوياً، والفارق الزمني الذي يقارب أسبوعاً بين إصلاح SaaS والإفشاء العلني هذا الأسبوع أعطى مديري النسخ المُستضافة ذاتياً تحذيراً مسبقاً محدوداً قبل أن يلاحظ المهاجمون على الأرجح نفس ملاحظات التصحيح.

أدوات الدعم البعيد والوصول المميّز هدف متزايد الجاذبية لأنها مصممة بالضبط لتكون موثوقة بوصول مرتفع عبر أنظمة أخرى كثيرة — تجاوز ناجح واحد هنا لا يُخرّب جهازاً واحداً فقط، بل قد يسلّم المهاجم مفاتيح كل ما كان ذلك الجهاز موثوقاً لإدارته، وفقاً لما أوردته BleepingComputer أولاً.