BeyondTrust Remote Support'taki kritik açık sıfırıncı gün olarak istismar edildi

Uzaktan destek ve ayrıcalıklı erişim yönetimi çözümleri sunan BeyondTrust, Remote Support (eski adıyla Bomgar) ürününde kritik bir güvenlik açığını kapattı. CVE-2026-102764 koduyla izlenen açık, şirketin 15 Ekim'de yayımladığı BT26-05 numaralı güvenlik bülteninde CVSS v4.0 ölçeğinde 9,3 puanla "kritik" olarak derecelendirildi. Google Threat Intelligence Group (GTIG) ve Mandiant'ın yayımladığı analize göre açık, düzeltme yayımlanmadan önce sıfırıncı gün olarak saldırılarda kullanıldı.

Kimlik doğrulama gerektirmeyen dosya işlemleri

Kanada Siber Güvenlik Merkezi'nin 16 Ekim tarihli AL26-025 numaralı uyarısına göre zafiyet, "sahtecilik yoluyla kimlik doğrulama atlatma" (CWE-290) türünde. Remote Support'un dahili mesajlaşma bileşenlerindeki yetersiz kaynak doğrulaması, uzaktaki ve kimliği doğrulanmamış bir saldırganın kullanıcı etkileşimi olmadan cihaz üzerinde yetkisiz dosya işlemleri yapmasına imkân tanıyor. Bu durum keyfi dosya yüklemeye ve sonuçta cihazın tamamen ele geçirilmesine yol açabiliyor.

BeyondTrust'ın açıklamasına göre 26.2.3 ve önceki Remote Support sürümleri etkileniyor. Google'ın aktardığına göre bulut tabanlı (SaaS) müşteriler için düzeltme 9 Ekim'de şirket tarafından uygulandı. Kendi sunucusunda çalıştıran müşterilerin 24.3.1 ve sonrası sürümlerde BT26-05-RS yamasını uygulaması, daha eski sürümlerdeyse önce desteklenen bir sürüme yükseltme yapması gerekiyor.

Saldırıların arkasında Çin bağlantılı grup

GTIG ve Mandiant, faaliyetleri daha önce UNC5221 olarak izlenen ve şimdi ARMORY CASTLE adıyla anılan, Çin bağlantılı olduğundan şüphelenilen bir casusluk grubuna bağladı. Analize göre grup açığı ağustos sonundan itibaren kullandı. Saldırganlar sisteme sızdıktan sonra SAWFLY adlı bir PHP web kabuğu yerleştirdi, ayrıcalık yükseltme yaptı, cihazda saklanan kimlik bilgilerini dışarı aktardı ve BARECLAW adı verilen bir tünelleme aracıyla trafiği gizledi. İzlerini örtmek için günlük kayıtlarını sildikleri de belirtildi. Kanada Siber Güvenlik Merkezi ise açığın aktif olarak istismar edildiğine dair açık kaynak raporlarını gözlemlediğini bildirdi.

Google, istismar döneminde savunmasız bir sürümle internete açık olan her cihazın inceleme tamamlanana kadar potansiyel olarak ele geçirilmiş kabul edilmesini tavsiye ediyor. Şirketin değerlendirmesine göre yamanın tek başına uygulanması, daha önceki bir sızmanın etkilerini ortadan kaldırmıyor.

Ne yapmalısınız?

• Kendi sunucunuzdaki Remote Support kurulumuna BT26-05-RS yamasını hemen uygulayın; 24.3.1'den eski sürümlerde önce yükseltme yapın.
• Şüpheli bir durum varsa cihazı yeniden başlatmadan önce kanıtları koruyun; temizlemek yerine temiz ve yamalı bir imajdan yeniden kurmayı değerlendirin.
• Yama veya yeniden kurulumdan sonra yönetici, API ve entegrasyon hesaplarının kimlik bilgilerini yenileyin.
• Yönetim arayüzlerine erişimi IP bazında kısıtlayın, oltalamaya dayanıklı çok faktörlü kimlik doğrulama kullanın ve günlükleri merkezi bir sisteme aktarın.

Kaynak: BeyondTrust, Google Threat Intelligence Group, Kanada Siber Güvenlik Merkezi