CVE-2026-102764：BeyondTrust 远程支持系统身份认证绕过，攻击者已利用漏洞获取 Root 权限

摘要： BeyondTrust Remote Support 被披露存在严重的内部消息来源校验漏洞 CVE-2026-102764，CVSS 4.0 评分为 9.3。攻击者可在未经认证的情况下操作服务器文件，进一步实现远程代码执行。该漏洞在公开前已遭实际利用，攻击者曾植入 WebShell、获取 Root 权限并尝试窃取凭据。官方已发布补丁，企业自建远程支持系统需要紧急排查。

一、漏洞概述

企业 IT 部门经常使用远程支持软件，帮助员工解决电脑故障、安装软件或处理服务器问题。

BeyondTrust Remote Support（RS）就是这样一款产品。管理员通过集中管理平台连接终端设备，执行远程维护操作。

这类系统通常拥有较高权限，还可能保存访问内部系统所需的凭据。一旦远程支持平台被攻破，攻击者便可能进一步进入企业内网。

2026 年 10 月 15 日，BeyondTrust 发布 BT26-05 安全公告，披露 CVE-2026-102764。11 月 4 日，官方再次更新公告。

根据 BeyondTrust 官方公告，24.3.1 至 26.2.3 版本可以安装专用补丁。更早版本需要先升级到支持补丁的版本。

二、漏洞原理：内部消息为什么会被外部攻击者伪造？

1. 远程支持系统需要多个组件协作

远程支持平台通常包含 Web 管理界面、会话管理服务、文件传输功能和终端连接组件。

这些组件需要交换消息。

例如，管理员发起文件传输时，系统可能经历如下过程：

管理员发起操作
       |
       v
Web 管理服务
       |
       v
内部消息通信组件
       |
       v
文件操作服务
       |
       v
目标设备或服务器

在安全设计中，文件操作服务应当验证消息的来源及其操作权限。

即使一条消息符合内部协议格式，接收方仍需要确认发送者是否有权要求执行该操作。

2. CVE-2026-102764 的核心问题

BeyondTrust 官方确认，Remote Support 的部分内部组件未充分验证接收到的消息来自哪里。

攻击者可以利用这一缺陷，伪装成可信消息来源，诱导系统执行文件操作。

用简化伪代码说明：

# 存在风险的逻辑示意
def handle_message(message):
    if message.action == "file_operation":
        perform_file_operation(message)

这段示意代码缺少发送者身份和授权检查。

安全的处理流程应包含：

# 安全设计示意
def handle_message(message, context):
    if not verify_message_origin(context):
        raise PermissionError("Untrusted origin")

    if not authorize_operation(context, message):
        raise PermissionError("Unauthorized")

    perform_file_operation(message)

上述代码用于解释漏洞类别，并非 BeyondTrust 实际源代码。

BeyondTrust 尚未完整公开内部协议格式、具体校验函数及补丁实现细节，因此无法仅凭公告还原全部漏洞触发过程。

3. 文件操作如何发展成远程代码执行？

文件写入权限往往具有很高的安全风险。

假设某个服务允许攻击者将文件写入 Web 服务器能够执行脚本的目录，那么攻击者就可能通过 HTTP 请求触发该脚本。

实际攻击链可以概括为：

外部攻击者
     |
     v
伪造内部可信消息
     |
     v
绕过消息来源验证
     |
     v
执行未授权文件操作
     |
     v
上传恶意服务器端脚本
     |
     v
远程执行命令
     |
     v
进一步提权、建立持久化

Rapid7 于 10 月 30 日发布技术分析，验证了未经认证的文件上传到远程代码执行的路径。

需要注意，漏洞直接提供的是未授权文件操作能力。进一步执行代码、获取 Root 权限，取决于文件写入位置、执行环境和后续攻击步骤。

三、哪些版本和部署环境受到影响？

BeyondTrust 官方给出了明确的修复范围。

PRA 需要单独说明：BeyondTrust 建议自建 PRA 用户及时修复共享代码，但截至本次核验，厂商尚未确认存在针对 PRA 的相同利用路径。

哪些企业需要特别关注？

风险最高的是通过互联网提供远程支持入口的企业。

典型场景包括：

• 企业 IT 服务台，使用 BeyondTrust 远程维护员工电脑。
• 金融机构、医院和大型企业的集中运维平台。
• 托管服务提供商（MSP），通过远程支持系统管理多个客户环境。
• 自建 BeyondTrust Appliance，并允许外部员工或技术人员连接的组织。

这些环境的共同风险在于，远程支持系统通常连接大量内部终端。

攻击者一旦取得管理平台的控制权，就可能进一步利用平台已有的连接能力、账户权限和凭据。

对于仅使用普通 Windows 远程桌面、SSH 或其他远程管理软件的用户，应根据实际产品清单判断是否涉及 BeyondTrust Remote Support。

四、风险分析：漏洞公开前已经遭到利用

此次漏洞的危险性已经得到真实攻击证据支持。

1. 攻击最早发生在什么时候？

BeyondTrust 确认，2026 年 8 月 29 日已有两起与该漏洞有关的 Remote Support 入侵事件：

一例涉及 BeyondTrust 托管实例，另一例涉及客户自建设备。

这意味着攻击发生在漏洞正式公开之前，属于零日漏洞利用。

10 月 16 日，美国 CISA 将 CVE-2026-102764 加入已知遭利用漏洞目录（KEV）。

2. 攻击者实际做了什么？

Google Mandiant 的调查记录了较完整的攻击活动。

攻击者通过漏洞上传文件，随后部署恶意工具：

调查还发现，攻击者成功提升到 Root 权限，尝试提取设备保存的凭据，并进行日志删除和权限修改。

Mandiant 将相关活动归因于其追踪的 ARMORY CASTLE 威胁组织。这一归因属于安全研究机构的分析结论。

3. 是否已有公开 PoC？

已有公开利用工具。

Rapid7 在 10 月 30 日公布了技术分析，并提供相应的 Metasploit 利用模块。

与仅能触发崩溃的测试代码相比，这类工具已经展示了从未经认证的文件上传进一步实现代码执行的能力。

官方 CVSS 4.0 评分为 9.3，其攻击向量包含：

AV:N / AC:L / AT:N / PR:N / UI:N

这些指标表示网络攻击、低复杂度、无额外攻击条件、无需已有权限及用户交互。

考虑到公开利用工具和真实攻击记录，自建 Remote Support 应当被列为紧急修复对象。

五、如何检查自己的系统？

BeyondTrust Remote Support 主要通过专用 Appliance 管理，版本和补丁状态应优先在官方管理界面核实。

1. 检查软件版本

登录设备的 Appliance 管理界面：

https://你的RS管理地址/appliance

在更新和软件版本相关页面检查：

• 当前 Remote Support 版本；
• BT26-05-RS 补丁安装状态；
• 自动更新是否启用；
• 最近一次成功安装更新的时间。

对于 26.2.3 及更早版本，应重点核实补丁安装状态。

2. 检查公网暴露情况

在授权的管理主机上，可以检查远程支持系统是否提供 HTTPS 服务：

curl -I --connect-timeout 5 \
  https://rs.example.com/

也可以检查 DNS 解析：

dig +short rs.example.com

这些命令有助于识别管理入口，无法直接判断漏洞是否存在。

实际风险还需要结合防火墙、访问控制、代理配置及补丁状态。

3. 排查异常访问和管理操作

BeyondTrust 建议关注以下异常：

• 来自陌生住宅宽带或商业 VPN 地址的管理员会话。
• Web 服务账户异常启动 Shell 或执行脚本。
• Jump Items、Teams 的权限被异常提升。
• 日志转发突然中断，随后恢复。
• 出现未经授权的账户、会话策略或管理配置修改。

如果设备已经将日志发送到外部 SIEM，可以结合历史数据检索。

例如，在集中日志平台中搜索：

mangoapi.php
ingredi_ws
dbus-authd
uidchanarge

这些名称来自 Mandiant 对已知攻击事件的分析。

其中，mangoapi.php 与 SAWFLY WebShell 有关，ingredi_ws 与 BARECLAW 隧道工具有关。

这些特征可用于威胁狩猎，但攻击者可能修改文件名称和部署路径。完整排查还需要结合官方 IOC、日志及设备行为。

六、修复方案

1. 立即安装官方补丁

对于自建 Remote Support，推荐通过官方 /appliance 管理界面检查和安装更新。

根据当前版本采取对应操作：

在执行升级前，应按照 BeyondTrust 官方维护文档准备配置备份和维护窗口。

2. 暂时无法升级怎么办？

如果生产环境短期内无法升级，应优先限制远程支持平台的网络暴露。

可以采取以下措施：

• 通过防火墙或 VPN 限制管理入口访问。
• 仅允许经过批准的运维网络连接设备。
• 暂停非必要的外部远程支持入口。
• 加强异常管理员会话和文件操作监测。

由于漏洞发生在内部消息来源验证环节，单纯增加登录页面的多因素认证，无法覆盖所有漏洞触发路径。

网络隔离有助于降低攻击面，官方补丁仍是主要修复措施。

3. 已经被入侵的设备如何处理？

对于发现明显入侵迹象的设备，Mandiant 建议优先保留证据，随后隔离受影响系统。

如果确认设备遭到控制，应考虑使用可信的、已修复镜像重新部署。

同时需要：

1. 检查并轮换设备保存或代理使用的凭据。
2. 审核远程支持系统中的管理员账户及权限变更。
3. 排查攻击期间连接过的内部终端。
4. 检查异常远程会话、持久化组件及外联通信。
5. 保留外部 SIEM 和网络设备中的历史日志。

安装补丁能够修复漏洞入口，但已经建立的恶意账户、后门和持久化机制仍需单独清除。

七、总结

CVE-2026-102764 的核心问题是 Remote Support 内部组件对消息来源验证不足，导致外部攻击者可以执行未经授权的文件操作。

它具有三个值得关注的特点。

首先，攻击者无需已有账户权限，可以从网络侧发起攻击。

其次，漏洞涉及企业远程支持管理平台，成功入侵后可能影响大量内部终端和保存的管理凭据。

最后，真实攻击早在公开披露前就已经发生。Mandiant 记录了 WebShell 植入、Root 提权和凭据窃取尝试，Rapid7 也已公开利用分析及 Metasploit 模块。

对于运行 BeyondTrust Remote Support 的企业，最紧迫的工作是核实补丁状态、排查历史入侵迹象，并检查远程支持平台能够访问的内部资产。

这类漏洞尤其值得运维团队重视：一个原本用于维护企业终端的集中管理系统，一旦被攻击者控制，就可能成为进入整个企业网络的入口。