BeyondTrust warnt vor CVE-2026-102764 in Remote Support, einer kritischen Authentifizierungsumgehung. Die Schwachstelle ermöglicht nicht privilegierten Angreifern Dateioperationen auf ungepatchten Appliances und betrifft Remote Support 26.2.3 und frühere Versionen. SaaS-Kunden wurden laut Anbieter bereits am 8. Oktober gepatcht; selbst gehostete Systeme müssen Administratoren manuell aktualisieren.
Mandiant und die Google Threat Intelligence Group schreiben die Angriffe der mutmaßlich China-nahen Gruppe Armory Castle zu, die auch als UNC5221 beziehungsweise bei CrowdStrike als Warp Panda verfolgt wird. Die Angreifer verschafften sich zunächst Zugriff, erlangten anschließend Root-Rechte über gesetzte SUID-Berechtigungen und installierten die Webshell Sawfly sowie den Tunneler Bareclaw.
Nach der Übernahme löschten die Angreifer Protokolle, nutzten kompromittierte Administratorkonten für weitere Sitzungen und bewegten sich in nachgelagerte Systeme. Da die Appliances Zugangsdaten speichern oder vermitteln können, empfiehlt Mandiant, jedes während des Angriffszeitraums aus dem Internet erreichbare und verwundbare System bis zur forensischen Prüfung als potenziell kompromittiert zu behandeln.
Administratoren sollten den Patch BT26-05-RS einspielen, die Erreichbarkeit von Remote Support und Privileged Remote Access aus nicht vertrauenswürdigen Netzen einschränken und externe Syslog-, Proxy- und Firewall-Daten sichern. Nach einer bestätigten Kompromittierung sind Wiederaufbau und anschließende Rotation aller betroffenen Zugangsdaten sicherer als eine Bereinigung im laufenden Betrieb.