هشدار امنیتی درباره BeyondTrust؛ اصلاح آسیب‌پذیری روزصفر را به تعویق نیندازید
آسیب‌پذیری روزصفر BeyondTrust Remote Support با شناسه CVE-2026-102764 و شدت ۹.۳ در حملات واقعی سوءاستفاده شده است. نسخه‌های آسیب‌پذیر و روش نصب پچ را بخوانید.
شرکت BeyondTrust یک آسیب‌پذیری بحرانی در محصول Remote Support خود را اصلاح کرده است که به مهاجمان راه دور اجازه می‌دهد بدون احراز هویت، عملیات غیرمجاز روی فایل‌های دستگاه آسیب‌پذیر انجام دهند. این نقص با شناسه CVE-2026-102764 و امتیاز شدت ۹.۳ از ۱۰ ثبت شده و طبق گزارش‌های امنیتی، از اواخر اوت ۲۰۲۶ در حملات واقعی مورد سوءاستفاده قرار گرفته است. سازمان‌هایی که نسخه خودمیزبان این محصول را استفاده می‌کنند، باید نصب اصلاحیه امنیتی را بررسی کنند.
آسیب‌پذیری CVE-2026-102764 در BeyondTrust چیست؟
شرکت BeyondTrust در ۱۵ اکتبر ۲۰۲۶، جزئیات یک آسیب‌پذیری بحرانی در نرم‌افزار Remote Support را منتشر کرد. این محصول برای پشتیبانی فنی از راه دور استفاده می‌شود و به کارشناسان فناوری اطلاعات امکان می‌دهد دستگاه‌ها و سامانه‌های کاربران را مدیریت و عیب‌یابی کنند.
این نقص با شناسه CVE-2026-102764 شناخته می‌شود و در دسته آسیب‌پذیری‌های دورزدن احراز هویت از طریق جعل یا اعتبارسنجی نامناسب مبدأ پیام قرار دارد. طبق اطلاعیه رسمی شرکت، برخی مؤلفه‌های پیام‌رسانی داخلی Remote Support مبدأ پیام‌های دریافتی را به‌درستی اعتبارسنجی نمی‌کردند. مهاجم می‌تواند در شرایط مناسب از این ضعف برای انجام عملیات غیرمجاز روی فایل‌های دستگاه آسیب‌پذیر استفاده کند.
امتیاز این آسیب‌پذیری بر اساس استاندارد CVSS نسخه ۴، برابر با ۹.۳ از ۱۰ و سطح شدت آن بحرانی است. یکی از دلایل اهمیت نقص، امکان سوءاستفاده از راه دور بدون نیاز به اعتبارنامه یا تعامل کاربر است.
گزارش شرکت‌های امنیتی Mandiant و Google Threat Intelligence Group نشان می‌دهد بهره‌برداری از این آسیب‌پذیری دست‌کم از ۲۹ اوت ۲۰۲۶ آغاز شده بود. در نخستین موارد شناسایی‌شده، یک نمونه میزبانی‌شده از Remote Support و یک دستگاه خودمیزبان هدف قرار گرفتند.
بر اساس گزارش رسمی BeyondTrust، تیم دفاع سایبری شرکت در ۲۸ سپتامبر نشانه‌هایی از فعالیت مشکوک را شناسایی کرد و توانست نمونه مربوط به یکی از مشتریان را مهار کند. بررسی‌های بعدی به بازتولید نقص و توسعه اصلاحیه امنیتی منجر شد.
پژوهشگران فعالیت مورد بررسی را با سطح اطمینان متوسط تا بالا به یک عامل جاسوسی منتسب به چین نسبت داده‌اند که Mandiant و Google آن را با نام ARMORY CASTLE و شناسه UNC5221 ردیابی می‌کنند. این انتساب، ارزیابی پژوهشگران امنیتی است و نباید به‌عنوان اثبات مستقل هویت مهاجمان تلقی شود.
گزارش‌های فنی همچنین از تلاش مهاجمان برای افزایش سطح دسترسی، استفاده از ابزارهای مخرب و دسترسی به اعتبارنامه‌های ذخیره‌شده در دستگاه‌های آلوده حکایت دارند. بااین‌حال، جزئیات فنی کامل آسیب‌پذیری از سوی BeyondTrust منتشر نشده است؛ شرکت اعلام کرده هدف از محدودکردن این جزئیات، کاهش خطر برای مشتریانی است که هنوز اصلاحیه را نصب نکرده‌اند.
کدام نسخه‌های BeyondTrust آسیب‌پذیرند؟
طبق اطلاعیه رسمی شرکت، تمام نسخه‌های BeyondTrust Remote Support تا نسخه 26.2.3، شامل نسخه 26.2.3، تحت تأثیر این آسیب‌پذیری قرار دارند.
شرکت اصلاحیه BT26-05-RS را برای نسخه‌های 24.3.1 تا 26.2.3 منتشر کرده است. سازمان‌هایی که نسخه‌ای قدیمی‌تر از 24.3.1 دارند، باید ابتدا محصول را به نسخه پشتیبانی‌شده و جدیدتر ارتقا دهند تا بتوانند اصلاحیه مربوط را اعمال کنند.
مشتریان نسخه ابری Remote Support تا ۹ اکتبر ۲۰۲۶ به‌روزرسانی شده‌اند. بااین‌حال، سازمان‌هایی که نسخه خودمیزبان (Self-hosted) را اجرا می‌کنند، باید وضعیت نصب اصلاحیه را در محیط خود بررسی کنند؛ به‌ویژه اگر به‌روزرسانی خودکار فعال نباشد.
BeyondTrust همچنین برای محصول Privileged Remote Access اصلاحیه‌ای منتشر کرده است. شرکت اعلام کرده آزمون‌های داخلی آن راهی برای بهره‌برداری از این نقص در محصول PRA نشان نداده‌اند، اما به‌دلیل اشتراک کد با Remote Support، نصب اصلاحیه را به‌عنوان اقدام احتیاطی توصیه می‌کند.
مدیران شبکه چه اقداماتی باید انجام دهند؟
نخستین اقدام، بررسی نسخه نصب‌شده و وضعیت اصلاحیه BT26-05-RS است. صرفاً مشاهده شماره نسخه کافی نیست؛ مدیران باید مطمئن شوند اصلاحیه مربوط به شاخه محصول آن‌ها واقعاً اعمال شده است.
اگر سامانه خودمیزبان است و اصلاحیه به‌صورت خودکار نصب نشده، باید مطابق دستورالعمل رسمی BeyondTrust به‌روزرسانی انجام شود. سازمان‌هایی که دستگاه آسیب‌پذیر آن‌ها از اینترنت قابل دسترسی بوده و در بازه بهره‌برداری مهاجمان اصلاح نشده است، باید علاوه بر نصب پچ، احتمال نفوذ قبلی را نیز بررسی کنند.
بررسی گزارش‌های ثبت‌شده، فایل‌های غیرمنتظره، تغییرات مشکوک، نشست‌های مدیریتی و فعالیت‌های غیرعادی روی دستگاه می‌تواند به شناسایی نشانه‌های نفوذ کمک کند. همچنین بهتر است گزارش‌های امنیتی خارج از دستگاه نگهداری شوند تا در صورت دست‌کاری یا حذف لاگ‌های محلی، امکان بررسی مستقل وجود داشته باشد.
نصب اصلاحیه، خطر بهره‌برداری از آسیب‌پذیری شناخته‌شده را کاهش می‌دهد، اما به‌تنهایی ثابت نمی‌کند که دستگاه پیش از به‌روزرسانی آلوده نشده است.
وصله امنیتی BeyondTrust را از کجا دریافت کنیم؟
شرکت BeyondTrust اصلاحیه امنیتی این آسیب‌پذیری را با شناسه BT26-05-RS منتشر کرده است. مدیران فناوری اطلاعات باید برای دریافت دستورالعمل نصب و بررسی وضعیت اصلاحیه، به اطلاعیه رسمی امنیتی BeyondTrust مراجعه کنند.
این اصلاحیه برای نسخه‌های 24.3.1 تا 26.2.3 محصول Remote Support ارائه شده است. سازمان‌هایی که نسخه‌ای قدیمی‌تر از 24.3.1 دارند، باید ابتدا محصول را مطابق دستورالعمل سازنده به نسخه پشتیبانی‌شده ارتقا دهند و سپس اصلاحیه مناسب را اعمال کنند.
پس از نصب، لازم است نسخه و وضعیت به‌روزرسانی بررسی شود. اگر سامانه پیش از نصب اصلاحیه در معرض اینترنت بوده است، بررسی گزارش‌های امنیتی و نشانه‌های نفوذ احتمالی نیز توصیه می‌شود؛ زیرا نصب پچ به‌تنهایی وجود یا عدم وجود نفوذ قبلی را مشخص نمی‌کند.
منابع گزارش
