BeyondTrust, Ağustos'tan beri istismar edilen Remote Support açığını yamaladı

Uzaktan destek ve ayrıcalıklı erişim yazılımları geliştiren BeyondTrust, Remote Support (eski adıyla Bomgar) ürününde sıfırıncı gün olarak istismar edilen bir güvenlik açığı için yama yayımladı. CVE-2026-102764 koduyla izlenen açığın CVSS puanı The Hacker News'e göre 9,3. Açık, dahilî bir mesajlaşma bileşenindeki kaynak doğrulama hatasından kaynaklanıyor ve yetkisiz bir saldırganın etkilenen cihazda dosya işlemleri yapmasına imkân tanıyor.

Çin bağlantılı grubun hedefi

Google bünyesindeki Mandiant'a göre açık, Ağustos sonundan bu yana Çin bağlantılı casusluk grubu Armory Castle tarafından kullanılıyor. Daha önce UNC5221 olarak da bilinen ve CrowdStrike'ın Warp Panda adıyla izlediği grup, geçmişte Citrix NetScaler ve Ivanti Connect Secure gibi uç cihazlardaki açıkları da istismar etmişti. Mandiant'ın tespitlerine göre saldırganlar web kabuğu aracılığıyla erişim sağladıktan sonra root yetkisine yükseldi, SAWFLY adlı web kabuğunu ve BARECLAW tünelleme aracını yükledi, kayıtları sildi ve ele geçirdikleri yönetici hesaplarıyla bağlı sistemlere uzaktan oturum açtı. Belgelerin dışarı sızdırıldığı da raporlarda yer alıyor. Saldırganların trafiklerini gizlemek için ticari VPN çıkış noktalarını ve ele geçirilmiş ev ile küçük ofis yönlendiricilerini kullandığı, yeniden başlatmalara dayanıklı kalıcılık mekanizmaları kurduğu da belirtiliyor.

Güncelleme ve inceleme önerisi

Açık, Remote Support'un 26.2.3 ve önceki sürümlerini etkiliyor. Aynı kodu paylaşan Privileged Remote Access (PRA) için şirketin iç testlerinde bir istismar yolu bulunmasa da önlem amaçlı yama yayımlandı. Bulut (SaaS) müşterilerinin sistemleri BeyondTrust tarafından güncellendi; kendi sunucusunda çalıştıranların ise otomatik güncelleme kapalıysa BT26-05 yamasını elle uygulaması gerekiyor. 24.3.1'den eski sürümlerin önce yükseltilmesi gerektiği bildirildi.

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 16 Ekim'de açığı istismar edilen açıklar kataloğuna ekleyerek federal kurumlara düzeltme için 19 Ekim'e kadar süre verdi. Mandiant, istismar döneminde internetten erişilebilir durumda olan ve yamasız sürüm çalıştıran her cihazın incelenene kadar ele geçirilmiş kabul edilmesini öneriyor. Shadowserver, internete açık 1.400'ü aşkın BeyondTrust uzaktan destek örneği tespit ediyor. Uzaktan destek araçları kurum ağlarına geniş erişim sağladığı için, bu ürünü kullanan Türk kurumlarının da sürüm kontrolü ve kayıt incelemesini önceliklendirmesi gerekiyor.

Kaynak: BleepingComputer, The Hacker News, Mandiant