BeyondTrust Remote Support 認證繞過遭利用，CISA 列入 KEV
CISA Alert · 2026-10-16
自架的 BeyondTrust Remote Support（前身為 Bomgar）設備不再只是「該更新的 IT 工具」，而是已被實際攻陷的入口：CVE-2026-102764 是認證繞過漏洞，CISA 在 2026 年 10 月 16 日將它加入 KEV。受影響版本為 26.2.3 及更早版本，官方補丁為 BT26-05-RS。
Mandiant 的調查顯示，疑似中國關聯的間諜組織 ARMORY CASTLE（原追蹤為 UNC5221）早在 2026 年 8 月下旬就把它當作 zero-day 使用，BeyondTrust 則是在 10 月 15 日才公告。
漏洞機制
Mandiant 的描述是：成功利用後可任意上傳檔案。攻擊者先對 /app_84304470%2Ephp 送出 POST 請求，約 11 分鐘後，檔案系統就出現 SAWFLY webshell（mangoapi.php），落在 Laravel 的 public/ 目錄下。Mandiant 沒能取回第一個被 POST 的檔案，所以認證繞過與上傳之間的細節，目前公開資料並未說明。
SAWFLY 是混淆過的輕量 PHP webshell。它只認 POST 參數 _c94mfe，沒有這個參數就回 404，藉此躲開掃描器；有參數時，用 Base32 解碼、RC4 解密後以 @eval() 執行，回傳值再加密送回。
拿到 root 之後做了什麼
webshell 只有網站服務帳號的低權限，攻擊者的做法很樸素：把 /bin/sh 複製成 /usr/bin/dbus-authd，改成 root 擁有並加上 SUID，等於留了一個 root 後門。接著用設備自帶的 /ns/sbin/bt-secrets 嘗試傾倒憑證保險庫，然後刪掉 bt-secrets.log。
持久化的手法值得注意。攻擊者沒有直接改 /etc/sudoers，因為設定重置會覆蓋它；他們在 /home/bomgar/sbin/post_boot.d/ 放了 zz-root-persist，開機時把 NOPASSWD 規則寫進 /ns/config/sudoers.template，再呼叫 bt-sysconfig 重建 sudoers。這樣重開機與設定重置都清不掉。
| 階段 | 手法 |
|---|---|
| 初始存取 | CVE-2026-102764 檔案上傳，落地 SAWFLY |
| 提權 | SUID 版 /bin/sh 副本 |
| 持久化 | post_boot.d 腳本改寫 sudoers 模板 |
| 橫向移動 | 管理員帳號登入，將 Jump Item 權限由 No Access 改為 Administrator |
| 通道 | BARECLAW SOCKS5 over WebSocket，改 haproxy.conf 對外開放 |
最危險的是橫向移動：Remote Support 本來就是替 IT 人員連進內部端點的工具。Mandiant 觀察到攻擊者用內建的檔案傳輸功能，從使用者桌面抓軟體清單等偵察資料。
受影響版本
- 自架 Remote Support，版本
26.2.3及更早：受影響。 - 支援中的版本（
24.3.1及以後）：可直接套用BT26-05-RS。 - 低於
24.3.1：必須先升級才能打補丁。 - BeyondTrust 代管的 SaaS：已修補。
修補與緩解
負責自架設備的人，優先順序是：先補，再當作可能已被入侵來查。因為利用早在公告前近兩個月就開始，補丁並不能清掉已存在的 webshell 與後門。
- 限制設備對外只開必要服務，管理介面限縮在受信任網路。
- 保存虛擬設備快照或實體設備映像，並把 syslog 與 session 事件轉送到 SIEM，連同 WAF、reverse proxy、邊界防火牆日誌一起留存。
- 獵捕項目：不認識的特權或管理 session、不明腳本檔、日誌或轉送的異常空窗、帳號／權限／session policy 的未授權變更。
- 判定遭入侵者：隔離設備，從已知乾淨狀態重建並套用補丁，輪換設備儲存或注入的所有憑證，撤銷所有進行中的支援 session，並檢查特權帳號上新註冊的 MFA。
要小心的是，攻擊者會刪除 /ns/log/ 與 /var/log/messages 等日誌，Mandiant 是從只能經由 LUKS 加密分割區（含 /home）存取的 access、syslog、messages、thin-scc、brain、SSL 日誌找到證據。日誌乾淨不代表沒事。
Mandiant 也提醒，公告後應預期出現大範圍的機會主義式利用。CISA 文中未提供 CVSS 分數，BeyondTrust 的安全公告頁（BT26-05）在撰文時無法抓取，因此補丁細節請以官方頁面為準。
原始來源：CISA Alert、Mandiant／GTIG：ARMORY CASTLE Exploits BeyondTrust